Chat-Leaks geben Einblick in Taktiken Was die geleakten LockBit-Chats über Cyber-Erpressung verraten

Anbieter zum Thema

Cisco Systems GmbH Attn: Accounts Payable Business Campus München

Fsas Technologies GmbH

FAST LTA GmbH

SEPPmail - Deutschland GmbH

Über 4.000 Chat-Nachrichten zwischen LockBit und mehr als 200 Opfern sind nach einem Leak öffentlich geworden. Sie zeigen, wie Cyberkriminelle Lösegeldforderungen staffeln, Opfer unter Zeitdruck setzen und sogar „Hilfe­stellung“ verkaufen, und wie manche Betroffene sich den Angreifern annähern. Der Einblick verdeutlicht, wie perfide und kalkuliert Ransom­ware-Erpressung abläuft.

Vor einigen Wochen wurde jeder, der auf die Partner-Panels von LockBit im Darknet zugreifen wollte, mit folgender Meldung begrüßt: „Don't do crime CRIME IS BAD xoxo from Prague“ Neben der Nachricht befand sich ein Download-Link für ein komprimiertes Archiv mit dem Namen „paneldb_dump.zip“. Aus der 7,5 MB großen Datei lassen sich 26 MB Klartext in 20 Tabellen extrahieren. Die Informationen ermöglichen einen seltenen, ungefilterten Einblick in die Geschäftstätigkeit der Hacker – und die Reaktionen ihrer Opfer.

Neben fast 60.000 Bitcoin-Adressen sowie Zugangsdaten von 75 Administratoren und Partnern, alle mit Klartext-Passwörtern, erscheint auch eine Chat-Tabelle. Sie enthält 4.423 Nachrichten, verteilt auf 208 Opfer, aus der Zeit von Dezember 2024 bis April 2025. Manchmal gibt es nur eine unbeantwortete Nachricht, in anderen Fällen über 300 Anfragen für „technischen Support“ bei nicht wiederherstellbaren Dateien und sogar die Bitte um Rückerstattung an die Ransomware-Betreiber.

Ransomware

Fasana stellt Insolvenzantrag nach Cyberangriff

Sehr unterschiedliche Lösegeldforderungen

Die Lösegeldforderungen variieren sehr stark und reichen von wenigen Tausend bis hin zu zwei Millionen Dollar. Offensichtlich kam es auch zu Verwechslungen. Manche Opfer hielten die Forderung fälschlicherweise für „100.000 Bitcoins“, obwohl es sich um „100.000 Dollar in Bitcoin“ handelte.

Ein Fall dreht sich um die Verschlüsselung bei einem Hosting-Unternehmen, dessen Kunden letztlich die Konsequenzen tragen mussten. Gemäß dem Chat hatte LockBit alle Daten mit demselben Schlüssel verschlüsselt. Obwohl nicht alle Opfer das Lösegeld zahlen konnten oder wollten, bestanden die Bedrohungsakteure gegenüber dem Hoster auf den vollen Betrag. Dies erschwerte es, das geforderte Lösegeld einzutreiben – dem Hoster wohlgemerkt. Denn dieser agierte als Vermittler zwischen den Opfern und den Erpressern. Die Hacker waren sich ihrer Sache sicher und ließen sich nicht erweichen, einzelne Kundendaten preiszugeben.

Zusätzlich werden die Opfer oft durch knappe Fristen unter Druck gesetzt, besonders in Europa durch hier gültige Feiertage wie Karfreitag, Ostermontag und 1. Mai. Häufig erhöht sich die Lösegeldforderung nach Ablauf einer Frist. Manche Opfer bitten um mehr Zeit, um kleinere Beträge zusammenzutragen und so einer Entdeckung durch die lokalen Behörden und dem Geldwäschegesetz zu entgehen.

Andere Opfer waren verwundert, dass sie auf einmal mit LockBit statt RansomHub in Kontakt waren, doch diese Verwirrung wurde schnell aufgeklärt: „Wir waren Partner von RansomHub. Jetzt ist RansomHub geschlossen, also sind wir hierher umgezogen. Unternehmen haben immer noch die Möglichkeit, ihr Datenleck zu verhindern.“

Besonders interessant: In einem Chat behauptet ein Opfer, das Lösegeld von 100.000 US-Dollar nicht bezahlen zu können. Die Antwortet der Hacker lautet: „Sieben Direktoren mit einem Einkommen von jeweils 14.000 Dollar können nicht helfen?“ Das zeigt klar, dass LockBit das Ziel vorher gut analysiert hat, in den Chats wird von einem eigenen „Analytics Department“ gesprochen.

The Global Cost of Ransomware

Erschreckende Zahlen zu Ransomware-Attacken weltweit

Der Hacker als „Helfer“

Manche Opfer bitten sogar die Cyberkriminellen um Hilfe, zum Beispiel:

• beim Verwischen der Spuren („Wir haben bereits die Regeln gebrochen und Ihnen das Geld gezahlt, aber wir wollen nicht, dass unser Chef das erfährt. Bitte löschen Sie die Chat-Historie.“)

• bei der Forensik („Können Sie uns helfen, die System-Schwachstellen zu lokalisieren, damit wir uns vor künftigen Angriffen besser schützen können?“)

• oder sogar für Jobangebote („Ich habe großes Interesse, für Sie zu arbeiten. Mein Job in der echten Welt ist nicht ideal.“)

Zudem verwundert es, wie schnell und häufig sich das Stockholm-Syndrom entwickelt und die Opfer sich mit den Verbrechern solidarisieren. So lästern sie über Kollegen in diesen Chats oder verraten den Angreifern geheime Sicherheitsinformationen, etwa dass sie noch ein Backup der Software X auf Host Y haben. Dieses wird natürlich umgehend per Cyberangriff auf das Netzwerk gekapert, sodass sich die Lösegeldzahlung damit nicht mehr umgehen lässt.

Technische Hilfe bieten die Cyberkriminellen zum Teil gegen eine zusätzliche Gebühr von 10.000-Dollar an. Doch dafür erhalten die Opfer nur allgemeine Tipps, wie:

• Entfernen Sie den Admin von der Domain und sorgen Sie für bessere Passwörter.

• Nein, Sie haben keinen Insider, wir sind über Phishing eingedrungen.

• Sie müssen alle Konten-Passwörter in Windows ändern, Antivirus-Software auf allen Servern installieren und Aktivitäten im Unternehmensnetzwerk genauer überwachen.

Diese Tipps sind zwar nicht falsch, aber definitiv keine 10.000 Dollar wert. Dieses Geld sollten Unternehmen besser einem seriösen Cybersecurity-Berater wie Cisco Talos Incident Response geben, der den Schutz des Unternehmensnetzwerks proaktiv unterstützt.

Schlag gegen Ransomware-Gruppe Lockbit

Internationale Ermittler zer­schla­gen „schädlichste Hackergruppe der Welt“

Totgesagte leben länger

Der eine oder andere mag auch überrascht gewesen sein, dass er überhaupt noch von LockBit angegriffen wurde. Trotz der (mehrfachen) versuchten Zerschlagung in 2024 war LockBit in jenem Jahr zum dritten Mal in Folge die aktivste Ransomware-as-a-Service (RaaS)-Gruppe, wenn man den Umfang der Beiträge zu Data Leak Sites als Maßstab nimmt. Platz 2 belegte die damals neue Gruppe RansomHub,

Beim Rückblick auf das vergangene Jahr fällt auch auf, dass vor allem Identitäten über gestohlene Anmeldedaten, Sitzungs-IDs, API-Schlüssel, digitale Zertifikate und weitere Techniken angegriffen wurden. Ransomware-Akteure nutzten in fast 70 Prozent der Fälle gültige Konten für den Erstzugriff. Diese Taktik wird dadurch erleichtert, dass gestohlene Zugangsdaten in Dark-Web-Foren verkauft werden.

Ransomware-Akteure nutzten in fast 20 Prozent der Fälle Schwachstellen in öffentlich zugänglichen Anwendungen aus. Dazu gehören Shopping-Plattformen, Anmeldeseiten, soziale Medien, Online-Banking-Systeme, E-Mail-Server oder Service-Portale, die Schwachstellen oder Fehlkonfigurationen aufweisen. Zudem können sie bei etwa der Hälfte ihrer fortgeschrittenen Angriffe Sicherheitslösungen aushebeln, die nicht genug gehärtet sind. Künftig wird die Gefahr laut Cisco Talos Year in Review Report durch Künstliche Intelligenz (KI) deutlich steigen. Vor allem um bestehende Taktiken zu verbessern, aber auch um neue zu entwickeln, nutzten Bedrohungsakteure laut Cisco Talos 2024 KI zu Infiltration von Infrastruktur.

Aktuelle Cyberbedrohungen

10 der gefährlichsten Malware-Bedrohungen

Die wichtigsten Sicherheitsmaßnahmen sind daher:

• Best Practices wie Netzwerksegmentierung, strenge Zugangskontrollen und regelmäßige Mitarbeiterschulungen umsetzen

• Updates und Patches so schnell wie möglich aufspielen

• Robuste Authentifizierungsmethoden wie Multifaktor-Authentifizierung (MFA) und komplexe Passwörter durchsetzen

• Sämtlichen Datenverkehr für Monitoring und Konfiguration verschlüsseln

• Alle Maßnahmen auch für die Netzwerkinfrastruktur implementieren

Dies wird zwar nicht sämtliche Angriffe abwehren, aber zumindest einen guten Grundschutz bieten. Detaillierte und individuell angepasste Schutzmaßnahmen können bewährte Spezialisten-Teams wie Talos IR entwickeln.

Über den Autor: Thorsten Rosendahl ist Lead, Talos Strategic Planning & Communications bei Cisco Talos.

Zwei neue Insolvenzanträge

Cyberattacken treiben deutsche Unternehmen in den Ruin

(ID:50548752)