Wat is Ransomware-as-a-Service (RaaS)?

Ransomware is tegenwoordig een dienst geworden en vormt een risico voor elk bedrijf. Ransomware-as-a-Service (RaaS) wordt een steeds grotere zorg binnen de cyberbeveiligingswereld. Dit model heeft de werkwijze van cybercriminelen ingrijpend veranderd, waardoor ransomware-aanvallen toegankelijker en frequenter zijn geworden. In deze blog gaan we dieper in op wat RaaS precies is, hoe het verschilt van traditionele ransomware, hoe het werkt en welke strategieën u kunt toepassen om te voorkomen dat uw organisatie hierdoor wordt getroffen. We zullen ook uitleggen hoe oplossingen zoals Kaseya VSA en Kaseya 365 zijn ontworpen om uw systemen te versterken en RaaS-bedreigingen op afstand te houden.

Wat is ransomware-as-a-service?

Ransomware-as-a-service is een bedrijfsmodel waarbij cybercriminelen ransomware ontwikkelen en deze verkopen of verhuren aan partners, die de software vervolgens gebruiken om aanvallen uit te voeren op doelwitten van hun keuze. Dit model heeft de toetredingsdrempel voor cybercriminelen aanzienlijk verlaagd, waardoor zelfs degenen met minimale technische vaardigheden geavanceerde ransomwarecampagnes kunnen opzetten.

Hoewel RaaS al een tijdje bestaat, begon het halverwege de jaren 2010 aan populariteit te winnen toen cybercriminelen zich realiseerden hoe winstgevend en schaalbaar het was om ransomware-tools als dienst aan te bieden. Cybercriminelen begonnen ransomware-toolkits aan te bieden op marktplaatsen op het dark web, waardoor het voor minder ervaren personen gemakkelijker werd om ransomware-aanvallen uit te voeren. Door deze praktijk veranderde ransomware van geïsoleerde aanvallen door individuele hackers in een grootschalig crimineel bedrijfsmodel.

Dit bedrijfsmodel is op dezelfde manier opgezet als legitieme Software-as-a-Service (SaaS)-oplossingen, compleet met diensten op abonnementsbasis, gebruiksvriendelijke interfaces en zelfs klantenondersteuning. Dankzij RaaS konden cybercriminelen terugkerende inkomstenstromen genereren, en tegen 2020 hadden ransomware-aanvallen wereldwijd naar schatting 20 miljard dollar aan schade veroorzaakt.

Ontdek 10 krachtige cyberbeveiligingstrucs om ransomware-bedreigingen te verjagen en uw netwerk te beschermen tegen digitale gevaren.

Waarin verschilt RaaS van traditionele ransomware?

Traditioneel worden ransomware-aanvallen meestal door de ontwikkelaars zelf uitgevoerd. Zij regelen alles, van het maken van de malware tot het uitvoeren van de aanval en het innen van het losgeld. Bij RaaS worden deze rollen daarentegen gescheiden. Ontwikkelaars maken de ransomware en leveren deze aan partners, die vervolgens de aanvallen uitvoeren. Door deze verdeling kunnen er meer aanvallen tegelijkertijd plaatsvinden, waardoor de totale impact toeneemt.

Hoe werkt ransomware-as-a-service?

Het RaaS-model is in korte tijd uitgegroeid tot een van de gevaarlijkste trends in de wereld van cyberbeveiliging. Doordat de technische drempel is verlaagd, kunnen zelfs onervaren cybercriminelen met minimale inspanning geavanceerde ransomware-aanvallen uitvoeren. De dienst werkt volgens een gestructureerd proces dat uit vier belangrijke stappen bestaat:

1. Ontwikkeling van ransomware: Ervaren cybercriminelen of ransomware-ontwikkelaars maken geavanceerde ransomware-software die is ontworpen om beveiligingssystemen te omzeilen en maximale schade aan te richten. Deze ontwikkelaars verbeteren hun malware voortdurend om de steeds geavanceerdere beveiligingsmaatregelen te omzeilen. Bekende voorbeelden van RaaS zijn REvil, DarkSide en LockBit, die wereldwijd ransomware-incidenten hebben veroorzaakt.
2. Werving van affiliates: Zodra de ransomware is ontwikkeld, werven de makers affiliates via dark web-forums, versleutelde berichtenapps of besloten forums. Deze platforms functioneren als een criminele marktplaats. Affiliates, vaak aangeduid als ‘partners’ of ‘netwerkers’, betalen soms een eenmalige vergoeding of een abonnementsgeld, of komen overeen om een percentage van de opbrengsten uit het losgeld te delen met de ontwikkelaars. RaaS-affiliates betalen een terugkerende vergoeding – soms slechts 40 dollar per maand – voor toegang tot ransomware-tools. RaaS-bedrijven zoals Avaddon biedenaffiliates bijvoorbeeld tot 80% van de winst, afhankelijk van het servicemodel.
3. Uitvoering van ransomware: Affiliates zorgen vervolgens voor de verspreiding van de ransomware. Ze maken gebruik van verschillende technieken, zoals phishing-e-mails, schadelijke downloads of het misbruiken van beveiligingslekken, om het systeem van een slachtoffer te infecteren. Zodra de malware een netwerk is binnengedrongen, versleutelt deze kritieke gegevens, waardoor deze voor het slachtoffer ontoegankelijk blijven totdat er losgeld is betaald. Met name aanvallen door RaaS-operators, zoals DarkSide, hebben geleid tot opvallende incidenten, zoals de aanval op Colonial Pipeline, waardoor het bedrijf bijna 5 miljoen dollar aan losgeld moest betalen.
4. Betaling en/of winstdeling: Na de versleuteling worden slachtoffers ertoe aangezet losgeld te betalen, doorgaans in cryptovaluta zoals Bitcoin, in ruil voor decoderingssleutels. Deze anonimiteit maakt het opsporen en vervolgen van cybercriminelen veel moeilijker. De winst wordt vervolgens verdeeld tussen de affiliate en de ontwikkelaar volgens hun afspraak, waarbij affiliates vaak een groter aandeel krijgen. Sommige RaaS-platforms bieden hun affiliates zelfs 24/7 ondersteuning, waardoor het proces gestroomlijnder en winstgevender wordt​.

Wie zijn de typische doelwitten van RaaS-aanvallen?

Hoewel RaaS-aanvallen elke organisatie kunnen treffen, worden bepaalde soorten doelwitten vaker getroffen vanwege hun specifieke kwetsbaarheden:

• Kleine tot middelgrote ondernemingen (KMO’s): Aanvallers weten dat kleinere bedrijven doorgaans minder uitgebreide beveiligingsmaatregelen hebben, zoals eindpuntbeveiliging of inbraakdetectiesystemen, waardoor ze kwetsbaar zijn.
• Kritieke infrastructuur: Sectoren zoals energie, nutsvoorzieningen, vervoer en waterbeheer zijn een doelwit omdat het verstoren van deze systemen tot grootschalige chaos kan leiden, en organisaties in deze sectoren zijn mogelijk bereid om snel losgeld te betalen.
• Zorginstellingen: Ziekenhuizen en zorgverleners zijn een belangrijk doelwit vanwege de gevoelige aard van de gegevens waarover zij beschikken. De zorgsector heeft te maken gehad met een sterke toename van ransomware-aanvallen, met name tijdens de COVID-19-pandemie, waarbij verstoringen levens in gevaar konden brengen.
• Organisaties met verouderde beveiligingsprotocollen: Bedrijven die nalaten hun software regelmatig bij te werken, patches te installeren of hun beveiligingssystemen te verbeteren, zijn een gemakkelijk doelwit. Cybercriminelen zijn goed op de hoogte van de kwetsbaarheden in verouderde systemen, waardoor deze organisaties een makkelijke prooi zijn voor RaaS-partners.
• Onderwijsinstellingen: Scholen en universiteiten moeten vaak met krappe budgetten werken, waardoor het moeilijk is om de beveiliging te verbeteren. Bovendien zijn ze sterk afhankelijk van online platforms, waardoor hun kwetsbaarheid voor aanvallen toeneemt.
• Financiële dienstverlening: Banken, beleggingsondernemingen en verzekeringsmaatschappijen zijn een aantrekkelijk doelwit voor cybercriminelen, omdat de gestolen gegevens op het dark web kunnen worden verkocht of kunnen worden gebruikt om financiële fraude te plegen.

Maakt u zich zorgen dat uw netwerk mogelijk gevaar loopt? Bekijk dan ons on-demand webinar en ontdek hoe u uw RMM-oplossing kunt inzetten om u effectief te beschermen tegen ransomware-bedreigingen.

Wat zijn praktijkvoorbeelden van ransomware-as-a-service?

Verschillende RaaS-groepen hebben de krantenkoppen gehaald vanwege hun verwoestende en grootschalige aanvallen:

DarkSide

DarkSide ontstond in 2020 en verwierf al snel bekendheid door zich te richten op grote bedrijven. De groep is vooral berucht vanwege de aanval op Colonial Pipeline, die in de hele Verenigde Staten tot brandstoftekorten leidde. DarkSide maakt gebruik van een tactiek die bekendstaat als ‘dubbele afpersing’: ze versleutelen niet alleen gegevens, maar dreigen deze ook openbaar te maken als het losgeld niet wordt betaald, waardoor de druk op hun slachtoffers nog verder wordt opgevoerd.

LockBit

LockBit is sinds 2019 actief en onderscheidt zich door de nadruk op snelheid en automatisering bij het inzetten van ransomware. De groep haalde de krantenkoppen toen het Accenture, een groot advies- en dienstverleningsbedrijf, aanviel. Dankzij de zelfverspreidende mogelijkheden van LockBit kan het systemen razendsnel infecteren, waardoor het bijzonder effectief en gevaarlijk is.

REvil

REvil, ook bekend als Ransomware Evil, is berucht geworden vanwege zijn betrokkenheid bij verschillende opvallende aanvallen. Een van de meest opvallende incidenten was de aanval op JBS Foods, ’s werelds grootste vleesverwerker, die wereldwijde voedselvoorzieningsketens ontwrichtte. REvil staat erom bekend exorbitante losgelden te eisen, die soms meer dan 40 miljoen dollar bedragen, en richt zich vaak op grote ondernemingen.

Conti

Sinds 2020 wordt Conti wereldwijd in verband gebracht met meer dan 400 aanvallen, wat de reikwijdte van zijn activiteiten aantoont. Een belangrijk incident waarbij Conti betrokken was, was de aanval op de Health Service Executive (HSE) in Ierland, die ernstige gevolgen had voor de gezondheidszorg. Conti staat bekend om zijn snelle versleutelingsproces en het gebruik van zeer gerichte phishing-e-mails om netwerken te infiltreren, waardoor het een hardnekkige bedreiging vormt.

Wat heeft bijgedragen aan de groei van ransomware-as-a-service?

Verschillende belangrijke factoren hebben bijgedragen aan de opkomst van RaaS, waardoor het tegenwoordig een van de meest winstgevende en wijdverbreide modellen voor cybercriminaliteit is geworden:

• Lagere toegangsdrempels: Dankzij het RaaS-model kunnen personen met minimale technische kennis deelnemen aan ransomware-aanvallen door simpelweg ransomware-kits aan te schaffen of er een abonnement op te nemen die zijn ontwikkeld door ervaren cybercriminelen. Deze tools zijn voorzien van gebruiksvriendelijke interfaces, ondersteuningssystemen en updates, waardoor het voor leken gemakkelijker dan ooit is om geavanceerde cyberaanvallen uit te voeren.
• Hoge winstgevendheid: Ransomware-aanvallen leiden vaak tot aanzienlijke losgeld eisen, die doorgaans variëren van tienduizenden tot miljoenen dollars. Het vooruitzicht op hoge opbrengsten bij minimale overheadkosten heeft RaaS zeer aantrekkelijk gemaakt voor cybercriminelen.
• Anonimiteit: Het gebruik van cryptovaluta’s, zoals Bitcoin, voor het betalen van losgeld, in combinatie met versleutelde communicatiekanalen op het darknet, maakt het voor wetshandhavingsinstanties ongelooflijk moeilijk om cybercriminelen en hun handlangers op te sporen. Dankzij deze mate van anonimiteit kunnen aanvallers vrijwel ongestraft te werk gaan, waardoor het risico op vervolging afneemt. Zelfs wanneer individuele handlangers worden opgepakt, maakt het gedecentraliseerde karakter van RaaS het moeilijk om de gehele operatie te ontmantelen.
• Wereldwijd bereik: RaaS-platforms kunnen wereldwijd op de markt worden gebracht en verspreid, wat betekent dat cybercriminelen niet worden beperkt door geografische grenzen. Dit wereldwijde bereik zorgt voor een exponentiële toename van het aantal potentiële doelwitten, variërend van kleine bedrijven tot grote multinationals.
• Gebrek aan adequate beveiligingsmaatregelen: Veel organisaties verzuimen nog steeds hun beveiligingsprotocollen regelmatig bij te werken, waardoor hun systemen kwetsbaar blijven voor aanvallen. Verouderde software, zwakke wachtwoorden en het ontbreken van een alomvattend cyberbeveiligingsbeleid zorgen voor hiaten die RaaS-partners gemakkelijk kunnen misbruiken.
• Hoge winstgevendheid bij minimaal risico: RaaS biedt een hoge winstgevendheid bij een relatief laag risico. Dankzij het gedecentraliseerde karakter van RaaS-operaties blijven ontwikkelaars gevrijwaard van directe betrokkenheid bij aanvallen, terwijl de partners het grootste deel van het risico dragen door de ransomware te verspreiden. Zelfs als één partner wordt gepakt, gaat de grotere operatie gewoon door, waardoor het een veerkrachtig en duurzaam bedrijfsmodel is voor cybercriminelen.

Hoe kun je ‘ransomware-as-a-service’ een halt toeroepen?

Om uw organisatie tegen RaaS te beschermen, is een meerlaagse beveiligingsaanpak nodig:

• Patchbeheer en software-updates: Door software regelmatig bij te werken worden kwetsbaarheden verholpen en wordt het risico op inbreuken verminderd. Geautomatiseerde tools voor patchbeheer zorgen ervoor dat updates tijdig worden geïnstalleerd en beperken de blootstelling aan bedreigingen tot een minimum.
• endpointsbeveiliging en -veiligheid: Door krachtige antivirus- en antimalwareoplossingen te installeren, kunt u schadelijke software blokkeren. Firewalls inbraakdetectiesystemen bieden extra beveiliging door het netwerkverkeer te controleren en te beheren.
• Detectie van en reactie op bedreigingen: Door het netwerk continu te monitoren, worden verdachte activiteiten in een vroeg stadium opgespoord. Een plan voor incidentrespons zorgt ervoor dat er snel actie wordt ondernomen om de schade als gevolg van inbreuken tot een minimum te beperken.
• Training in beveiligingsbewustzijn: Door medewerkers voor te lichten over phishing en veilig online gedrag worden menselijke fouten verminderd. Regelmatige trainingen en simulaties versterken deze kennis en helpen zo aanvallen te voorkomen.
• Gegevensback-up en -herstel: Regelmatige back-ups beschermen cruciale gegevens tegen verlies. Door back-ups offline of in beveiligde clouddiensten op te slaan, blijft men gevrijwaard van infecties of aanvallen.

Als het gaat om het bestrijden van ransomware, kan het investeren in afzonderlijke, op zichzelf staande oplossingen leiden tot hiaten in de beveiliging, inefficiëntie en extra kosten. IT-teams hebben behoefte aan geïntegreerde systemen die beveiliging, endpointsen en bedrijfsvoering naadloos beheren vanaf één enkel platform. Kaseya 365 precies dat: een allesomvattende oplossing die voorziet in alle essentiële behoeften van een IT-team. In het geval van een cyberaanval stellen de automatisering en krachtige integraties Kaseya 365technici in staat om het probleem snel te isoleren, in quarantaine te plaatsen en op te lossen, waardoor ransomware-bedreigingen in realtime effectief worden geneutraliseerd.

RaaS-aanvallen automatisch detecteren en voorkomen met Kaseya 365

Kaseya 365 vereenvoudigt het IT-beheer door eindpuntbeheer, back-ups, beveiliging en automatisering te combineren in één krachtig en betaalbaar platform. Met functies zoals geautomatiseerd patchbeheer, ransomware-detectie en antivirus zorgt het ervoor dat uw systemen veilig en up-to-date blijven. Bovendien beschermt Kaseya 365 uw Microsoft 365-gegevens proactief met geautomatiseerde back-ups en herstel, waardoor downtime tot een minimum wordt beperkt en de gevolgen van ransomware-aanvallen worden beperkt.

Voor wie geavanceerde bescherming nodig heeft, biedt de Pro-versie Endpoint Detection and Response (EDR) als extra verdedigingslaag tegen geavanceerde bedreigingen.

De kern van ‘ Kaseya 365 ’ wordt gevormd door Kaseya VSA, een robuuste en veelzijdige tool voor monitoring en beheer op afstand (RMM) die cruciale taken zoals patchbeheer en het opsporen van ransomware automatiseert. Hierdoor kunt u uw IT-omgeving moeiteloos beheren en zo de veiligheid en efficiëntie waarborgen. Bekijk dit on-demand webinar om te ontdekken hoe VSA u kan helpen uw beveiliging te versterken.

Versterk uw beveiliging en geef uw IT-team gemoedsrust. Volg vandaag nog een demo en ontdek hoe Kaseya 365 uw beveiligingsstrategie kan transformeren.