Ransomware-Angriffe bestehen aus einem Ökosystem an Akteuren

Ransomware-Angriffe, bei denen Daten verschlüsselt und Lösegeld erpresst werden, treffenUnternehmen jeder Größe und Branche. Es kann dabei leicht der Eindruck entstehen, dass die Akteure beliebig agieren. Tatsächlich steckt dahinter jedoch ein komplexes Ökosystem mit vielen unterschiedlichen Akteuren, die jeweils individuelle Rollen übernehmen.Anlässlich des Anti-Ransomware-Tags informiert Kaspersky in einem neuen Report [1] über das komplexe Ökosystem hinter Ransomware.

Entwickler, Bot Master, Verkäufer von Zugangsdaten oder Ransomware-Betreiber: das Ransomware-Ökosystem besteht aus einer Vielzahl an Akteuren. Sie alle bieten im Darknet unterschiedliche Dienstleistungen via Anzeigen an [2]. Selbständig agierende, prominente Profigruppen besuchen solche Websites eigentlich nicht, aber REvil, beispielsweise, die in den vergangenen Quartalen zunehmend Organisationen im Visier hatten, veröffentlichen ihre Angebote und Neuigkeiten nun regelmäßig über Affiliate-Programme. Dabei entsteht eine Partnerschaft zwischen dem Ransomware-Betreiber und dem Kunden, wobei der Ransomware-Betreiber als Verkäufer eine Gewinnbeteiligung zwischen 20 und 40 Prozent erhält, während die verbleibenden 60 bis 80 Prozent beim „Affiliate-Partner“ verbleiben. Die Auswahl der Partner folgt einem ausgefeilten Prozess mit Regeln, die von den Ransomware-Betreibern festgelegt wurden – einschließlich geografischer Beschränkungen oder politischer Ausrichtungen, gleichzeitig werden Ransomware-Opfer nutzenmaximierend ausgewählt.

Verkäufer und Kunde beziehungsweise Partner vereint das gemeinsame Streben nach Profit, weswegen es sich bei den am meisten infizierten Organisationen häufig um einfachere Ziele handelt, zu denen der Zugang besonders einfach war. Solche Zugänge werden auf Auktionsplattformen versteigert oder zu Fixpreisen ab 50 US-Dollar in Darknet-Foren angeboten. Bei den Angreifern handelt es sich meistens um Botnet-Besitzer, die an massiven und breit angelegten Kampagnen mitwirken und den Zugang auf die Geräte ihrer Opfer in großen Mengen verkaufen. Verkäufer von Zugangsdaten sind dagegen stets auf der Suche nach öffentlich bekannt gewordenen Schwachstellen in mit dem Internet verbundener Software, wie beispielsweise VPN-Applikationen oder E-Mail-Gateways, mit denen sie Organisationen infiltrieren können.

Ransomware-Betreiber verkaufen Malware-Samples und Ransomware-Builder in der Regel für 300 bis 4.000 US-Dollar. Ein weiteres Geschäftsmodell ist Ransomware-as-a-Service, bei dem Ransomware mit kontinuierlicher Unterstützung durch ihre Entwickler für 120 US-Dollar pro Monat oder 1.900 US-Dollar pro Jahr angeboten wird.

Gemeinsam über Risiken aufklären und Gegenmaßnahmen ergreifen

„In den vergangenen zwei Jahren haben wir gesehen, dass Cyberkriminelle im Umgang mit Ransomware mutiger geworden sind“, erklärt Craig Jones, Director of Cybercrime bei INTERPOL. „Solche Angriffe beschränken sich nicht mehr nur auf große Unternehmen und Regierungsorganisationen. Ransomware-Betreiber sind bereit, praktisch jedes Unternehmen unabhängig von seiner Größe zu attackieren. Die Ransomware-Branche ist eine komplexe Branche, an der viele verschiedene Akteure mit unterschiedlichen Rollen beteiligt sind. Um etwas gegen sie zu unternehmen, müssen wir uns darüber informieren, wie sie funktioniert, und sie als eine Einheit bekämpfen. Der Anti-Ransomware-Day ist eine gute Gelegenheit, darauf aufmerksam zu machen und die Öffentlichkeit daran zu erinnern, wie wichtig es ist, wirksame Sicherheitspraktiken anzuwenden. Das Global Cybercrime Programme von INTERPOL und unsere Partner sind fest entschlossen, die weltweiten Auswirkungen von Ransomware zu reduzieren und die Gesellschaft vor den Schäden zu schützen, die durch diese wachsende Bedrohung verursacht werden.“

„Das Ransomware-Ökosystem ist vielschichtig und es stehen viele Interessen auf dem Spiel“, ergänzt Dmitry Galov, Sicherheitsforscher im Globalen Forschungs- und Analyseteam (GReAT) von Kaspersky. „Es ist ein sich stets ändernder Markt mit vielen Spielern, einige recht opportunistisch, andere sehr professionell und gewieft. Sie wählen keine spezifischen Ziele aus, sondern attackieren möglicherweise jede Organisation unabhängig von deren Größe, wenn sie Zugriff auf ein System erhalten. Ihr Geschäft floriert und wird dementsprechend nicht so schnell verschwinden. Zum Glück können recht einfache Sicherheitsmaßnahmen die Angreifer stoppen. Dabei helfen schon Standardverfahren wie regelmäßige Software-Updates und Backups.“

„Wirksame Maßnahmen gegen das Ransomware-Ökosystem können erst getroffen werden, wenn dessen Grundlagen wirklich verstanden werden“, so Ivan hinzu Kwiatkowski, leitender Sicherheitsforscher im Globalen Forschungs- und Analyseteam (GReAT) von Kaspersky. „Durch unseren Report möchten wir zum Verständnis beitragen, wie Ransomware-Angriffe genau organisiert sind, damit die IT-Sicherheits-Community angemessene Gegenmaßnahmen ergreifen kann.“

Kaspersky-Sicherheitstipps zum Schutz vor Ransomware-Angriffen

• Software auf allen verwendeten Geräten immer auf dem neuesten Stand halten, um zu verhindern, dass Angreifer Sicherheitslücken ausnutzen und in Unternehmensnetzwerke eindringen.
• Die IT-Verteidigungsstrategie auf die Erkennung von lateralen Bewegungen und Datenexfiltration ins Internet fokussieren. Dabei besonders auf den ausgehenden Verkehr achten, um die Verbindungen durch Cyberkriminelle zu erkennen.
• Daten sollten regelmäßig über ein Backup gesichert werden, so dass ein Zugriff darauf bei Bedarf oder im Notfall jederzeit einfach möglich ist.
• Einen Ransomware-Schutz für alle Endpunkte aktivieren. Das kostenfreie Kaspersky Anti-Ransomware Tool for Business [3] schützt Computer und Server vor Ransomware und anderen Arten von Malware, verhindert Exploits und ist mit bereits installierten Sicherheitslösungen kompatibel.
• Sichere und einzigartige Passwörter für jeden Dienst verwenden und diese nicht mit Dritten teilen.
• Eine Anti-APT- und EDR-Lösung wie Kaspersky Endpoint Detection and Response [4] implementieren, die Funktionen für die erweiterte Entdeckung und Erkennung von fortschrittlichen Bedrohungen sowie die Untersuchung und die rechtzeitige Behebung von Vorfällen ermöglicht.
• Das SOC-Team sollte stets Zugriff auf aktuelle Bedrohungsinformationen haben. Diese und alle oben genannten Funktionen sind über das Kaspersky Expert Security Framework [5] erhältlich.
• Das gemeinnützige Programm No More Ransom [6] stellt kostenfrei Entschlüsselungstools für bekannte Ransomware zur Verfügung.

Weitere Informationen zum Ransomware-Ökosystem sind verfügbar unter https://securelist.com/ransomware-world-in-2021/102169/

[1] https://securelist.com/ransomware-world-in-2021/102169/

[2] https://securelist.com/a-look-into-the-russian-speaking-ransomware-ecosystem/77544/

[3] https://www.kaspersky.com/anti-ransomware-tool

[4] https://www.kaspersky.de/enterprise-security/endpoint-detection-response-edr

[5] https://www.kaspersky.de/enterprise-security

[6] https://www.nomoreransom.org/de/index.html

Nützliche Links:

• Kaspersky-Report: https://securelist.com/ransomware-world-in-2021/102169/
• No More Ransom: https://www.nomoreransom.org/de/index.html
• Webinar “Darknet and cybergangs: a deep dive into the ransomware ecosystem”: https://kas.pr/vbj1

Über Kaspersky

Kaspersky ist ein internationales Unternehmen für Cybersicherheit und digitale Privatsphäre, das im Jahr 1997 gegründet wurde. Die tiefgreifende Threat Intelligence sowie Sicherheitsexpertise von Kaspersky dient als Grundlage für innovative Sicherheitslösungen und -dienste, um Unternehmen, kritische Infrastrukturen, Regierungen und Privatanwender weltweit zu schützen. Das umfassende Sicherheitsportfolio des Unternehmens beinhaltet führenden Endpoint-Schutz sowie eine Reihe spezialisierter Sicherheitslösungen und -Services zur Verteidigung gegen komplexe und sich weiter entwickelnder Cyberbedrohungen. Über 400 Millionen Nutzer und 240.000 Unternehmenskunden werden von den Technologien von Kaspersky geschützt. Weitere Informationen zu Kaspersky unter https://www.kaspersky.de/