Wer verdient Geld mit Ransomware?

Ransomware ist die Art von Cyberangriff, die am ehesten Schlagzeilen macht, da sie dramatische und verheerende Folgen nach sich zieht. Ein Cyberangriff wie Ransomware reicht zudem aus, um den meisten Unternehmen den Todesstoß zu versetzen – 60 % der von einem Cyberangriff betroffenen Unternehmen müssen innerhalb von sechs Monaten den Betrieb einstellen. Der Schutz von Unternehmen vor Ransomware ist entscheidend, um den Betrieb aufrechtzuerhalten. Ein Ransomware-Vorfall kann das Budget eines Unternehmens ruinieren, ist für Kriminelle jedoch eine Goldgrube. Hinter jedem Ransomware-Angriff stehen zahlreiche Akteure, die alle aus demselben Grund handeln: Geld. Unabhängig davon, ob ein Unternehmen nach einem Ransomware-Angriff das Lösegeld zahlt oder nicht, wird die Cyberkriminalitätswirtschaft im Dark Web dadurch gestärkt.

Wie funktionieren Ransomware-Angriffe?

Wenn ein Unternehmen Lösegeld zahlt, zirkuliert dieses Geld weit und breit im Dark Web. Das Lösegeld fließt nicht nur an eine einzige Person oder Organisation – selbst ein nur am Rande an einem Ransomware-Angriff beteiligter Akteur profitiert davon. Die Ransomware-Branche ist ein eigenständiges Ökosystem und ein wichtiger Faktor für die Wirtschaft im Dark Web. Sie ist zudem Teil des „Cybercrime-as-a-Service“-Sektors. Das ist ein wesentlicher Grund, warum Cyberkriminelle aller Art sich schnell auf eine Ransomware-Aktion einlassen. Diese Kriminellen haben gute Chancen, mit beträchtlichen Geldsummen davonzukommen, und jeder wird bezahlt.

Die großen, mächtigen Ransomware-Banden führen Kampagnen selten selbst durch. Stattdessen betreiben sie „Cybercrime-as-a-Service“-Plattformen, über die Cyberkriminelle Operationen durchführen, Fachkräfte anwerben, sich mit Freiberuflern vernetzen und Zahlungen entgegennehmen können. Die führende Bande verdient ihr Geld an einem Anteil der Gewinne, wenn unter ihrer Schirmherrschaft ein erfolgreicher Ransomware-Angriff stattfindet. Diese Angriffe werden von verbündeten unabhängigen Auftragnehmern durchgeführt, die als „Affiliates“ bezeichnet werden. Die Affiliates sind diejenigen, die die tägliche Arbeit leisten, um einen erfolgreichen Ransomware-Angriff durchzuführen.

Der Partner ist für die gesamte Abwicklung eines Ransomware-Angriffs auf das von ihm ausgewählte Ziel verantwortlich – von der Planung über die Durchführung bis hin zur Zahlung. Bei dem Partner kann es sich um eine kleinere Bande oder einfach um eine Gruppe von Freiberuflern handeln, die sich für einen einzelnen Auftrag zusammenschließen. Es ist üblich, dass Partner Spezialisten und Freiberufler für die Durchführung der Operationen engagieren, beispielsweise erfahrene Spear-Phishing-Entwickler oder versierte Hacker. Manchmal stellt die übergeordnete Bande die Malware zur Verfügung, oder der Partner zieht es vor, seine eigene zu verwenden. Unabhängig davon, wie ein Partner den Auftrag abwickelt: Ist der Angriff erfolgreich, ist er verpflichtet, einen Anteil an die übergeordnete Bande – die die Plattform betreibt – abzutreten, in der Regel10 bis 20 %der Erlöse, sowie alle von ihm beauftragten Subunternehmer zu bezahlen. Der Rest des Geldes steht ihm zur freien Verfügung.

Stellenangebot: Eine Ransomware-Organisation

Jeder ist auf der Suche nach hervorragender Unterstützung, denn die richtigen Mitarbeiter sind ein entscheidender Faktor für den Erfolg eines Unternehmens – selbst für Cyberkriminalitätsbanden. Nachdem zwei bekannte russische Foren Ransomware-Betreiber gesperrt hatten, begannen zwei große Ransomware-Banden, die als „Himalaya“ und „LockBit“ identifiziert wurden,ihre eigenen Websites zu nutzen, um für ihre Verschlüsselungstools zu werben und neue Partner zu rekrutieren. LockBit hatte gerade eine neue Version seiner charakteristischen Ransomware veröffentlicht und versuchte, die verbesserte Softwareleistung als Mittel zur Gewinnung von Talenten einzusetzen. Himalaya zielte hingegen direkt auf den Geldbeutel ab undwarbauf seiner Websitemit großzügigen Vergütungenfür Partner – genau wie jedes andere Unternehmen, das auf der Suche nach Mitarbeitern ist.

Doch nicht jede Bande rekrutiert Leute von der Straße. Einige der größten Ransomware-Betreiber stellen überhaupt nicht öffentlich ein. Stattdessen muss man jemanden in der Organisation kennen, um einen Fuß in die Tür zu bekommen – genau wie bei einer traditionellen kriminellen Vereinigung. Von einer Organisation wie REvil wird man keine Stellenanzeigen sehen. Experten weisen darauf hin, dass die REvil-Bande es vorzieht, diskret zu agieren und sich bei Bedarf auf ihr Netzwerk aus Partnern und Kontakten zu verlassen, um neue Mitglieder zu gewinnen. Auch einige andere Akteure der Cyberkriminalität ziehen es vor, sich bedeckt zu halten und im Verborgenen zu arbeiten, und insbesondere Gruppen, die im Rahmen ihrer Ransomware-Aktivitäten auch Angriffe wie „Business Email Compromise“ durchführen, wollen unbedingt unsichtbar bleiben. Im Zuge der internationalen Fahndung nach den Hackern, die am DarkSide-Angriff auf Colonial Pipeline beteiligt waren, sind viele Banden, Hacker und Datenhändler noch tiefer in den Untergrund getaucht. Auch staatlich gestützte Gruppen stellen niemals Personal ein, sondern verlassen sich stattdessen auf ein vertrauenswürdiges Netzwerk verbündeter Akteure, um ihre Arbeit zu erledigen.

Geld fließt im Dark Web

Die Nachfrage nach Fachkräften für alle Arten von Cyberkriminalität ist hoch – Experten schätzen, dass 90 % der Beiträge in beliebten Dark-Web-Foren von Käufern stammen, die jemanden für Hacking-Dienstleistungen beauftragen möchten. Schätzungsweise 69 % dieser Stellenanzeigen in Dark-Web-Foren suchten nach Cyberkriminellen für das Hacken von Websites, während weitere 21 % nach Tätern suchten, die gezielt bestimmte Nutzer- oder Kundendatenbanken beschaffen konnten. Nicht alle „Hacker“ sind tatsächlich Hacker. Einige verfügen über Fachwissen in hochspezialisierten Bereichen wie Social Engineering oder Spear-Phishing-Operationen. Mutmaßliche Cyberkriminelle können auch vom Verkauf ihrer eigenen Technologie profitieren. Etwas mehr als 2 % der von den Forschern untersuchten Forenbeiträge stammten von Cyberkriminellen, die die Werkzeuge ihres Handwerks verkauften, darunter Passwort-Cracker, Zahlungs-Skimmer, Malware, Ransomware und andere Hacking-Programme. Hacker nutzen diese Foren zudem, um Menschen zu treffen, die daran interessiert sind, Cyberangriffe zu planen oder daran teilzunehmen – etwa 1 % der untersuchten Beiträge in Dark-Web-Foren stammte von Hackern, die nach Mitstreitern für eine Zusammenarbeit suchten.

Auch Cyberkriminalitätsorganisationen sind bereit, für den Zugang hohe Summen zu zahlen. Beliebte Dark-Web-Foren sind so etwas wie das LinkedIn der Cyberkriminellen. Etwa 40 % der Angebote, die Forscher in einer Studie aus dem Jahr 2020 untersuchten, stammten von Akteuren aus dem Bereich „Ransomware-as-a-Service“ (RaaS). Die Banden boten bis zu 100.000 US-Dollar für Dienste zum Erlangen des Erstzugangs an, wobei die meisten Akteure ihren Höchstpreis auf etwas mehr als die Hälfte dieses Betrags, nämlich 56.250 US-Dollar, festlegten. In anderen Anzeigen, die in einem beliebten Forum veröffentlicht wurden, suchten die Angreifer gezielt nach Zielen in den USA, Kanada, Australien und Großbritannien mit einem Umsatz von 100 Millionen US-Dollar oder mehr. Für diesen Zugang waren sie bereit, 3.000 bis 100.000 US-Dollar zu zahlen – und das reicht aus, um Mitarbeiter in die Versuchung zu führen, insbesondere unter schwierigen wirtschaftlichen Umständen.

Ein Blick hinter die Kulissen des Ransomware-Angriffs auf Colonial Pipeline

Die meisten Ransomware-Angriffe sind komplexe, im Verborgenen ablaufende Operationen, deren genaue Details selten ans Licht kommen. Der Ransomware-Vorfall bei Colonial Pipeline wurde jedoch umfassend untersucht, erforscht und in den Medien behandelt, sodass jeder einen seltenen Einblick darin erhielt, wie genau ein Ransomware-Angriff abläuft, der die Infrastruktur schädigt. Dieser Vorfall hat Ransomware noch stärker ins Rampenlicht gerückt und Regierungen weltweit – darunter auch die US-Regierung – dazu veranlasst, Maßnahmen zu ergreifen, um die Infrastruktur vor Ransomware zu schützen und Cyberkriminelle zu bestrafen. Die US-Regierung hat kürzlich eine „Ransomware One-Stop“-Anlaufstelle eingerichtet, um US-Unternehmen bei der Bekämpfung dieses Problems zu unterstützen.

Die Ransomware-Bande„DarkSide“erlangte Bekanntheit durch einen erfolgreichen Angriff auf Colonial Pipeline, bei dem sie eine Lösegeldsumme in Höhe von schätzungsweise etwas mehr als 4 Millionen Dollar erbeutete. Diese Operation wurde jedoch nicht direkt von den Entwicklern und Betreibern von DarkSide durchgeführt. Stattdessen wurde der Hack auf Colonial Pipeline von einem Partnerunternehmen der größeren Organisation unter Verwendung der proprietären Malware von DarkSide durchgeführt. Dieses Partnerunternehmen beauftragte über Dark-Web-Foren eigene Subunternehmer und beschaffte sich Ressourcen aus Dark-Web-Datenmärkten und -Dumps, um die Tat auszuführen.

Dann ließ die Satelliten-Bande ihre Falle zuschnappen und verübte einen verheerenden Angriff auf Colonial Pipeline, der die größte Kraftstoffpipeline der USA lahmlegte. Der Einstiegspunkt für die Bande war ein einziges kompromittiertes Mitarbeiterpasswort, das ihnen die Schlüssel zum Königreich verschaffte und wahrscheinlich durch Spear-Phishing erlangt wurde. Der DarkSide-Partner konnte sich daraufhin mühelos durch die zugegebenermaßen laxen Sicherheitsvorkehrungen von Colonial Pipeline schleichen und seine giftige Fracht abliefern: die firmeneigene Ransomware von DarkSide, um die Systeme und Daten von Colonial Pipeline zu verschlüsseln. Danach folgte der einfache Teil – der Partner stellte einen Timer für die Auslösung der Malware ein, stellte seine Lösegeldforderung und lehnte sich zurück, um auf sein Geld zu warten.

Etwas mehr als eine Woche nach dem ersten Eindringen setzte die Ransomware-Infektion ein und leitete damit die Endphase der Operation der Hackergruppe ein. Ein Mitarbeiter, der seinen Arbeitstag im zentralen Kontrollraum von Colonial Pipeline begann, sah auf seinem Computer eine Lösegeldforderung in Kryptowährung aufpoppen und rief seinen Vorgesetzten hinzu. Dann begann für Colonial Pipeline ein Wettlauf gegen die Zeit, bei dem das Unternehmen versuchte, der Infektion zuvorzukommen, um seine Systeme und Daten zu schützen. Nachdem die Pipeline abgeschaltet worden war, um den Schaden zu begrenzen und ein weiteres Vordringen der Hacker zu verhindern, blieb Colonial nichts anderes übrig, als Experten hinzuzuziehen – die Situation überstieg bei weitem die Möglichkeiten des Unternehmens, sie intern zu bewältigen.

Die Angreifer legten Colonial Pipeline mit verheerenden Folgen lahm. Außerdem stahlen sie fast 100 Gigabyte an Daten. Letztendlich war der Angriff der DarkSide-Partner ein durchschlagender Erfolg. Colonial Pipeline zahlte den Angreifern innerhalb kurzer Zeit ein Lösegeld in Höhe von 4,4 Millionen US-Dollar. Laut Forschern vonFireEye müssen DarkSide-Partner der Muttergruppe bis zu 25 % der Lösegeldzahlungen unter 500.000 US-Dollar sowie 10 % aller erfolgreichen Lösegeldzahlungen über 5 Millionen US-Dollar abführen.

Ransomware ist sehr profitabel, insbesondere die von DarkSide bevorzugte Variante mit doppelter Verschlüsselung. Bevor die Bande nach dem Vorfall bei Colonial Pipeline von der Bildfläche verschwand, hatte DarkSide laut Blockchain-Analysten vonElliptic im Laufe ihres kurzen Bestehens 90 Millionen US-Dollar an Lösegeldzahlungen in Bitcoin erhalten. Sie schätzten ferner, dass die durchschnittliche Lösegeldzahlung bei einer DarkSide-Aktion bei etwa 1,9 Millionen US-Dollar lag. Von der Gesamtsumme, die DarkSide durch seine Operationen einnahm, flossen nach Schätzungen dieser Experten 15,5 Millionen US-Dollar an den Entwickler von DarkSide, während 74,7 Millionen US-Dollar an die Partner der Gruppe gingen.

Ransomware stoppen, indem man Phishing verhindert

Eine der besten Möglichkeiten, ein Unternehmen vor Ransomware zu schützen, besteht darin, es vor Phishing zu schützen. Schätzungsweise 94 % der Ransomware gelangt per E-Mail in Unternehmen. Diese Nachrichten nutzen oft ausgeklügelte Social-Engineering-Techniken, um Mitarbeiter dazu zu verleiten, einen Anhang herunterzuladen, eine bösartige Website zu besuchen oder ihre Zugangsdaten an Cyberkriminelle preiszugeben. Der Schutz vor Ransomware beginnt damit, zu verhindern, dass Phishing-Nachrichten in die Posteingänge der Mitarbeiter gelangen.

Ihr Unternehmen benötigt eine leistungsstarke, automatisierte E-Mail-Sicherheitslösung, die Ihnen einen umfassenden Schutz vor bösartigen Nachrichten wie Ransomware bietet – und das zu einem erschwinglichen Preis. Graphus  erfüllt genau diese Anforderungen.

• Eine ausgeklügelte Automatisierung der E-Mail-Sicherheit sorgt für drei Schutzebenen zwischen Ihrem Unternehmen und Phishing-Nachrichten
• Automatisierte E-Mail-Lösungen wieGraphus erkennen 40 % mehr bösartige Nachrichten als herkömmliche Lösungen oder ein SEG.
• Intelligente KI benötigt keine Bedrohungsberichte, sondern nutzt stattdessen über 50 Vergleichskriterien, um gezielte Spear-Phishing-Angriffe, Ransomware, Zero-Day-Angriffe und andere komplexe Bedrohungen aufzuspüren.

Warten Sie nicht, bis Sie die Kosten für einen Ransomware-Angriff begleichen müssen, um Ihre E-Mail-Sicherheit zu verbessern – 60 % der Unternehmen, die von einem Cyberangriff betroffen sind, müssen ihr Geschäft aufgeben. Beenden Sie Phishing sofort mit „Graphus “ – der derzeit einfachsten, automatisiertesten und kostengünstigsten Phishing-Abwehr auf dem Markt. Kontaktieren Sie noch heute einen unserer Lösungsspezialisten und sichern Sie Ihr Unternehmen mit einem Schutz, der keinen einzigen Tag aussetzt.