Online-Abzocke auf Bestellung Cybercrime „as a Service“ – einfach wie nie

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Rubrik Germany GmbH

Keeper Security EMEA Ltd.

Infoblox Germany GmbH

Ängstigen, Erpressen oder einfach Kaputtmachen: Die Motivationen für Cyberkriminelle sind vielfältig, um ihre Opfer zu drangsalieren. Dabei nehmen vor allem Ransomware-Attacken immer weiter zu. Denn die Erpresser-Masche lässt sich relativ leicht realisieren. Und die Lösegelder, mit denen sich Betroffene freikaufen wollen, sind nicht nur schnell abgezockt – sie lassen auch ahnen, wer sich eventuell noch weiter ausnehmen lässt.

Lieber einmal zähneknirschend zahlen, als durch Online-Erpresser Daten, Geschäftsprozesse, Websites und Co. blockieren zu lassen und zudem langfristige Image-Schäden zu riskieren? Klingt zunächst nach dem kleineren Übel, geht aber in der Regel böse ins Auge. Denn Ransomware-Erpresser, die Daten und Services von Unternehmen, Institutionen oder Privatanwendern unterwandern und verschlüsseln oder lahmlegen, geben sich meist nicht mit dem geforderten Lösegeld zufrieden. Sie legen in der Regel nach und „melken“ ihre Opfer so lange und so oft wie möglich. Dann oft mit noch höheren Forderungen – denn offenbar ist jemand Zahlungswilliger gefunden.

Ransomware-Trends auf dem Vormarsch

Dass dieses Vorgehen Methode hat, belegt unter anderem der neueste „Cyber Threat Intelligence Report“. Die Infoblox Cyber Intelligence Unit erstellt die Studie quartalsweise und untersucht darin detailliert exemplarische Cyber-Bedrohungen der vergangenen drei Monate. Der jüngste Report (April mit Juni 2021) zeigt dabei eindeutig: Ransom-Strategien sind – wenn auch in unterschiedlicher Ausformung – für immer mehr Cyber-Verbrecher das Mittel der Wahl, um sich zu schnell zu bereichern.

Ob das angedrohte Erpresser-Szenario nun aus dem Verschlüsseln von Daten, aus dem Lahmlegen von Websites oder dem Leaken von Dateien besteht, eines haben die Ransomware-Attacken gemeinsam: Sie begründen inzwischen einen regelrechten Schatten-Markt mit zahlreichen „as a Service“-Angeboten. Diese ermöglichen es Cyber-Erpressern auch ohne IT-Kenntnisse online Schrecken zu verbreiten, Geschäftsmodelle zu torpedieren und Geld abzugreifen. Für den Frühsommer 2021 hat die Cyber Intelligence Unit sogar vier ganz besondere Ransomware-„Trends“ identifiziert:

Trend 1 – Erpresserische Online-Attacken: schneller, häufiger, fokussierter

Eine Zusammenschau mehrere Untersuchungen aus den vergangenen Monaten zeigt: Ransomware ist ein heißes Thema. Der Grund dafür? Es geht um viel Geld. Ransomware bringt eine große potenzielle „Rendite“ für Online-Gauner. Bis zu 10 Prozent aller Security-Vorfälle haben mittlerweile mit Ransomware zu tun.

Übereinstimmend bestätigen mehrere Studien auch, dass rund 80 Prozent der Unternehmen, die bereits einmal „Lösegeld“ für Daten gezahlt haben (oder „Schutzgeld“, um nicht von Botnets lahmgelegt zu werden), ein zweites Mal Opfer eines Ransomware-Angriffs geworden sind. Oft werden diese Angriffe durch dieselben Personen initiiert, die bereits den ersten Vorfall hervorgerufen haben. Kurz: Einmal attraktives Opfer – immer attraktives Opfer. Die Infoblox Cyber Intelligence Unit untersucht nicht nur detailliert exemplarische Cyber-Attacken, sondern sammelt auch andere Studienergebnisse und eigene Recherchen, um quartalsweise aussagekräftige Momentaufnahmen zur Cyber-Sicherheit zur erhalten.

Die Experten gehen inzwischen davon aus, dass rund zwei Drittel der Unternehmen bereits massive Umsatzeinbußen nach Ransomware-Angriffen hinnehmen mussten. Über die Hälfte der Unternehmen fürchten, dass ihr Image schon einmal nach einem erfolgreichen Angriff Schaden genommen hat. Und rund ein Drittel geht davon aus, dass sie als direkte Folge von Ransomware-Angriffen schon einmal junge Talente auf Führungsebene verloren haben.

Trend 2 – Ransomware-as-a-Service (RaaS) breitet sich aus

Die Ransomware-Angriffe auf JBS und Colonial Pipeline (detailliert im aktuellen Threat Report nachzulesen) sind Beispiele für kriminelle Organisationen, die RaaS-Plattformen nutzen. Viele potenzielle Bedrohungsakteure können alles, was sie für einen Angriff benötigen, über das Dark Web kaufen. Vorrangig wird davon Gebrauch gemacht, wenn sie nicht über die nötigen Fähigkeiten verfügen, um ihre eigenen Ransomware-Angriffe zu entwickeln und zu starten. Fast zwei Drittel der Ransomware-Angriffe im Jahr 2020 sind nach Infoblox-Recherchen ursprünglich von RaaS-basierten Plattformen ausgegangen.

RaaS-Plattformen umfassen Support, Community-Foren, Dokumentation, Updates und mehr. Ihr Support-System ähnelt sehr stark dem, was auch bei einwandfreien SaaS-Produkten angeboten wird. Einige RaaS-Websites bieten unterstützende Marketingliteratur und Erfahrungsberichte von Benutzern zu relativ niedrigen Kosten an. Außerdem gibt es Angebote, für das sich „Partner“ für einen einmalig fälligen Betrag oder mit einem monatlichen Abonnement anmelden können.

In einigen Fällen verwenden die Bedrohungs-Akteure übrigens gern sorgfältig zugeschnittene Social-Engineering-Taktiken, wie z. B. ansprechend und hochwertig gestaltete E-Mails, um die Zielpersonen dazu zu verleiten, auf manipulierte URLs zu klicken oder Anhänge zu öffnen, die gefährliche Viren etc. beinhalten. Hier ist besondere Vorsicht geboten.

Trend 3 – Ransomware-Leakseiten sind eine neue Taktik der Bedrohungsakteure

Ransomware-Bedrohungsakteure verfolgen oftmals eine bestimmte Strategie. Dazu gehören aktuell auch Drohungen, die Daten eines Opfers auf einer Leak-Seite zu veröffentlichen oder (das ursprüngliche „Geschäftsmodell“ der Ransomware) die Verschlüsselung der Dateien. In einigen Fällen ist der finanzielle Schaden aufgrund der Bezahlung der Lösegeldforderung vermeintlich kleiner als der Schaden, welcher durch die Veröffentlichung von Daten entsteht. Diese Abwägung nutzen die Cyber-Angreifer aus. Was nicht vergessen werden darf: Manchen Angreifern geht es auch nur um blinde Zerstörungswut. Wenn sich damit noch Geld machen lässt: umso willkommener…

Trend 4 – Angriffsvektor RDP

Das Remote Desktop Protocol (RDP) hat sich zuletzt zu einem äußerst effektiven und gefährlichen Angriffsvektor entwickelt. Vor einigen Jahren wurde in einer Studie festgestellt, dass über 10 Millionen Online-Rechner mit dem offenen Port 3389 konfiguriert waren. Für Bedrohungsakteure ist es mittlerweile keine Schwierigkeit mehr, diese Geräte mit Hilfe von Suchmaschinen wie Shodan ausfindig zu machen. Sie sind in der Lage, sich Zugang zu RDP-Servern zu verschaffen, indem sie Standardkennwörter auf nicht aktualisierten Servern verwenden. Alternativ können auch Brute-Force-Techniken oder Open-Source-Passwort-Cracker eingesetzt werden, um in diverse Systeme einzubrechen.

Fazit

Die detaillierten Bedrohungsanalysen des „Cyber Threat Intelligence Reports“ liefern eine Übersicht und beschreiben einzelne Kampagnen sowie ihre Attack-Chains aus dem vergangenen Quartal. Außerdem zeigen sie die ausgenutzten Schwachstellen und empfohlene Abwehrmaßnahmen auf. Ergebnis: Ransomware ist auf dem Vormarsch, denn mit erpresserischen Aktivitäten lässt sich viel Geld machen. Die Bedrohungsszenarien, die angedroht werden, können recht unterschiedlich sein: pure Zerstörung von Daten, das Leaken von Informationen, die Verschlüsselung von wichtigem Material – oder Botnet-Attacken, die für geschäftsschädigende Downtimes sorgen. Im Hintergrund steht immer der gleiche Gedanke: dass das Opfer wohl lieber abgepresstes Geld zahlt, als Daten, Kunden und Image aufs Spiel zu setzen. Von selbst werden Online-Erpresser daher nicht mit ihrem “Geschäftsmodell” aufhören. Deshalb ist es an Unternehmen, Mitarbeitern und nicht zuletzt jedem Einzelnen, sensiblel zu bleiben und mit größter Vorsicht auch auf “gut gemachte” Betrugsversuche zu reagieren.

Über den Autor: Steffen Eid ist Manager, Solution Architects – Central Europe bei Infoblox.

(ID:47898411)