Seien Sie auf diese gängigen Arten von Ransomware vorbereitet

Eine vollständige Liste aller öffentlich bekannt gewordenen Ransomware-Angriffe wäre länger, als man lesen möchte, und viele Opfer schweigen verständlicherweise (obwohl börsennotierte Unternehmen von der SEC verpflichtet sind, Cyberangriffe offenzulegen). Eine Handvoll viel beachteter Beispiele verdeutlicht den potenziellen Schaden – einschließlich der Lösegeldzahlungen sowie der weitreichenden Auswirkungen – nur allzu deutlich.

1) CryptoLocker (2013–2014) – Als einer der ersten großen Ransomware-Angriffe, der sich über infizierte E-Mail-Anhänge und das Gameover-Zeus-Botnetz verbreitete, erpresste CryptoLocker von verschiedenen kleinen und mittelständischen Unternehmen schätzungsweise 3 Millionen US-Dollar an Zahlungen.

2) WannaCry (2017) – Dieser weltweite Angriff betraf über 230.000 Computer in 150 Unternehmen. Der britische National Health Service erlitt Verluste in Höhe von schätzungsweise 92 Millionen US-Dollar, zusätzlich zu unermesslichen Belastungen für Patienten, Ärzte und Einrichtungen. Die weltweiten Gesamtverluste beliefen sich auf 4 Milliarden US-Dollar.

3) Petya/NotPetya (2017) – Diese äußerst erfolgreiche Kampagne verursachte weltweit Verluste in Höhe von 10 Milliarden US-Dollar, darunter 300 Millionen US-Dollar für die Reederei Maersk.

4) GandCrab (2018–2019) – GandCrab richtete sich nicht gegen einige wenige wohlhabende Opfer, sondern gegen zahlreiche kleine und mittelständische Unternehmen und verursachte weltweit einen geschätzten Gesamtschaden von 2 Milliarden US-Dollar.

5) REvil/Sodinokibi (2021) – REvil war 2022 bei mehr als einem Fünftel der Incident-Response-Einsätze von IBM im Einsatz und hat weltweit schätzungsweise rund 175.000 Computer infiziert, wobei mindestens 200 Millionen US-Dollar an Lösegeld gezahlt wurden. Allein JBS Foods zahlte Berichten zufolge 11 Millionen US-Dollar.

6) Maze (2019–2020) – Das IT-Beratungsunternehmen Cognizant erlitt durch die Ransomware-Variante Maze einen schweren Schlag. Das Unternehmen meldete direkte Verluste bei der Recovery in Höhe von 50 bis 70 Millionen US-Dollar; rechnet man die entgangenen Einnahmen hinzu, beliefen sich die finanziellen Auswirkungen insgesamt auf schätzungsweise bis zu 140 Millionen US-Dollar.

7) Ryuk (2020) – Ein Angriff auf Universal Health Services betraf 250 Pflegeeinrichtungen in den USA. Die langfristigen Auswirkungen sind schwer einzuschätzen, doch die kurzfristigen Verluste beliefen sich auf 67 Millionen US-Dollar.

8) DarkSide (2021) – Dieser RaaS-Angriff, der vor allem durch seine Auswirkungen auf Colonial Pipeline bekannt wurde, brachte ein Lösegeld in Höhe von 4,4 Millionen US-Dollar ein – doch das ist nur ein Teil des Gesamtbildes. Die Angreifer stahlen zudem rund 100 GB an Daten von den Servern des Unternehmens. In der Zwischenzeit kam es zu weitreichenden Kraftstoffengpässen und Preisanstiegen, die sich auf Verbraucher-, Unternehmens- und Finanzmärkte auswirkten.

9) ALPHV/BlackCat und Scattered Spider (2023) – Die Ransomware-Gruppen arbeiteten bei einem Angriff auf MGM Resorts zusammen und verschafften sich über Social-Engineering-Taktiken auf LinkedIn einen ersten Zugriff. Trotz erheblicher Beeinträchtigungen des Betriebs und des Gästeerlebnisses über fast zwei Wochen weigerte sich das Unternehmen, das Lösegeld zu zahlen – musste jedoch geschätzte 100 Millionen US-Dollar an entgangenen Einnahmen und sonstigen Schäden hinnehmen.

Die aktuelle Ransomware-Landschaft wird immer fragmentierter. Während sich viele ältere, bekannte Varianten weiterentwickelt haben, unter neuem Namen auftreten oder ihre Aktivitäten eingestellt haben, tauchen immer wieder neue Gruppen auf. Viele oder sogar die meisten davon agieren nach dem RaaS-Modell und wenden Doppel-Erpressungstaktiken an, bei denen separate Lösegeldzahlungen für die Entschlüsselung und die Löschung gestohlener Daten geleistet werden müssen.

Hier sind zwölf Ransomware-Bedrohungen, auf die Sie derzeit achten sollten.

1) LockBit – LockBit wird von einer äußerst raffinierten RaaS-Bande verbreitet und ist eine der weltweit produktivsten und zerstörerischsten Formen von Ransomware. Die Software nutzt native Windows-Tools, um der Erkennung zu entgehen, tarnt ihre ausführbare Datei als .PNG-Datei und kann sich mit minimalem manuellem Eingriff selbstständig im Netzwerk verbreiten. Aggressives Marketing, eine benutzerfreundliche Oberfläche und ein attraktives Gewinnbeteiligungsmodell haben zu ihrer steigenden Beliebtheit beigetragen.

2) PLAY – Auch bekannt als PlayCrypt, tauchte diese ausgeklügelte Cyberbedrohung im Juni 2022 auf und konzentriert sich vor allem auf Lateinamerika. PLAY ist derzeit als RaaS verfügbar, nutzt Schwachstellen in öffentlich zugänglichen Systemen wie Fortinet SSL VPN und Microsoft Exchange ProxyNotShell aus und verwendet kompromittierte gültige Konten für den Erstzugang.

3) Black Basta – Seit Anfang 2022 gehört Black Basta zu den weltweit aktivsten RaaS-Operationen. Die Gruppe wendet eine Taktik der doppelten Erpressung an, indem sie die Daten der Opfer verschlüsselt und anschließend damit droht, sensible Informationen zu veröffentlichen. Black Basta entwickelt seine Taktiken kontinuierlich weiter und hat kürzlich E-Mail-DDoS-Angriffe und Voice-Phishing (Vishing) in seine Angriffe integriert.

4) RansomHub – RansomHub ist ein relativ neuer, aber schnell wachsender RaaS-Anbieter, der kritische Infrastruktursektoren wie das Gesundheitswesen, die Wasserwirtschaft, Finanzdienstleistungen und staatliche Dienste ins Visier nimmt. Gängige Taktiken wie Phishing, das Ausnutzen von Schwachstellen und Passwort-Spraying, die in Verbindung mit EDR-Killer-Tools eingesetzt werden, haben der Gruppe dabei geholfen, sich Zugang zu über 200 Opfern zu verschaffen, darunter das Auktionshaus Christie’s und Change Healthcare.

5) Hunters International – Möglicherweise handelt es sich bei Hunters International um eine umbenannte Version von Hive. Die Gruppe agiert als RaaS, das sich in erster Linie auf Datenexfiltration und Erpressung statt auf Dateiverschlüsselung konzentriert. Die in Rust geschriebene Malware, die dadurch besser vor Entdeckung geschützt ist und die Verschlüsselung beschleunigt, ist dafür bekannt, Prozesse zu beenden, Backups zu löschen und Recovery-Mechanismen zu deaktivieren.

6) Akira – Als ein weiteres RaaS, das für Doppel-Erpressungstaktiken bekannt ist, hat sich Akira schnell zu einer der weltweit größten Ransomware-Bedrohungen entwickelt. Die Lösegeldforderungen liegen typischerweise zwischen 200.000 und über 4 Millionen US-Dollar, wobei die meisten Opfer aus den Bereichen Bildung, Finanzen, Fertigung und Gesundheitswesen stammen.

7) Medusa – Medusa verbreitet sich rasch über globale Partner und verschafft sich in der Regel den ersten Zugriff durch Ausnutzung anfälliger Dienste oder über Phishing-Kampagnen. Sobald sich die Malware im System befindet, beendet sie über 280 Windows-Dienste und -Prozesse, um die Verschlüsselung zu erleichtern. Ein Blog, in dem Opfer sowohl im Dark Web als auch im Surface Web namentlich bloßgestellt werden, hat ihr in der Cybersicherheits-Community einen berüchtigten Ruf eingebracht.

8) BianLian – Derzeit eine der weltweit größten Ransomware-Bedrohungen, hat BianLian kürzlich seinen Schwerpunkt von Verschlüsselungs- auf Erpressungsangriffe verlagert. Die Gruppe verschafft sich häufig Zugang über kompromittierte RDP-Anmeldedaten, nutzt Open-Source-Tools und Befehlszeilenskripte zum Sammeln von Anmeldedaten und zur Datenermittlung und exfiltriert die Daten anschließend über FTP, Rclone oder Mega-Dateifreigabedienste.

9) 8Base – Ursprünglich im Jahr 2022 unter dem Deckmantel von Penetrationstestern aufgetaucht, betreibt 8Base mittlerweile doppelte Erpressungsmaschen gegen kleine und mittelständische Unternehmen in den USA, Brasilien und Großbritannien. Die Malware der Gruppe deaktiviert Windows-Defender-Komponenten, löscht Schattenkopien, bereinigt Ereignisprotokolle und ändert Registrierungseinträge, um die Benutzerkontensteuerung zu umgehen und Persistenz zu erreichen.

10) INC Ransomware – Seit Juli 2023 verschafft sich diese Gruppe über Spear-Phishing-E-Mails oder durch Ausnutzen anfälliger Dienste Zugriff und nutzt anschließend eine Kombination aus kommerziellen Tools und „Living-off-the-Land“-Binärdateien (LOLBINs) zur Aufklärung und lateralen Bewegung. Zynischerweise bietet die Gruppe den „Service“ an, nach Zahlungseingang ihre Methoden offenzulegen, um die Umgebung des Opfers sicherer zu machen.

11) Qilin – Ursprünglich betrieb Qilin sein RaaS unter dem Namen „Agenda“ und verfolgt eine Strategie der doppelten Erpressung, wobei die Lösegeldforderungen zwischen 50.000 und 800.000 US-Dollar liegen. Hochentwickelte Malware, die sowohl in Golang als auch in Rust geschrieben ist, verschafft sich den ersten Zugriff über Phishing-E-Mails und VPN-Netzwerke ohne Multi-Faktor-Authentifizierung. Anpassbare Features wie das Ändern von Dateiendungen und das Beenden bestimmter Prozesse machen den Dienst äußerst flexibel.

12) Vanir Group – Seit ihrem Debüt im Juli 2024 hat die RaaS-Bande „Vanir Group“ Verbindungen zu ehemaligen Mitgliedern anderer namhafter Ransomware-Gruppen geknüpft, wodurch sie ihre Raffinesse rasch ausbauen konnte. Die Gruppe ist sowohl für ihren professionellen Auftritt als auch für äußerst aggressive Taktiken bekannt, wie zum Beispiel das Versenden einschüchternder Nachrichten an CEOs, um den Forderungen im Rahmen der doppelten Erpressung mehr Dringlichkeit zu verleihen.

Sowohl die Arten von Ransomware-Software als auch die Taktiken der Gruppen, die sie einsetzen, entwickeln sich ständig weiter. Ein vollständiger Schutz vor einem Sicherheitsvorfall ist zwar nicht möglich, doch durch einen unermüdlichen Fokus auf Datenschutz, Backup and Recovery sowie auf die Stärkung der Cyber-Resilienz können Sie das von diesen Bedrohungen ausgehende Risiko mindern. Seien Sie wachsam, seien Sie vorbereitet, und Sie können dazu beitragen, den Geschäftsbetrieb unter allen Umständen aufrechtzuerhalten.