Neue RaaS im Umlauf „VanHelsing“ erpresst 500.000 Dollar von Unternehmen

Anbieter zum Thema

Check Point Software Technologies GmbH

Fsas Technologies GmbH

Check Point berichtet, eine neue Ransomware-as-a-Service namens „VanHelsing“ entdeckt zu haben. Innerhalb von zwei Wochen habe es bereits drei Opfer gegeben, die jeweils zur Zahlung von 500.000 US-Dollar aufgefordert worden seien. Auch eine bereits bekannte Ransomware treibe wieder ihr Unwesen.

Sicherheitsforscher von Check Point Research (CPR) berichten, eine neue Ransomware namens „VanHelsing“ entdeckt zu haben. VanHelsing ist Teil eines Ransomware-as-a-Service-Modells (RaaS), mit dem sich die Betreiber sowohl an Profis wie auch an Anfänger richten.

XDR Roundup 2024

Anzahl der Ransomware-Bedrohungen vervierfacht

VanHelsing lässt sich leicht anpassen

Wie CPR berichtet, sei die VanHelsing-RaaS in C++ geschrieben und modular aufgebaut. Die einzelnen Module würden unterschiedliche Aufgaben übernehmen, wie Infizierung, Kommunikation und Ver­schlüsselung. Je nach Angriffsziel würden verschiedene Arten von Verschlüsselung zum Einsatz kommen.

VanHelsing unterstütze mehrere Befehlszeilenargumente, die es den Nutzern des Service ermögliche, den Verschlüsselungsprozess an ihre Ziele anzupassen. Zu den unterstützen Befehlszeilenargumente gehören laut CPR:

• -h: Zeigt die Liste der unterstützten Befehlszeilenargumente und Anwendungshinweise für die VanHelsing-Ransomware an.

• -v: Druckt alle Protokolle während der Ausführung und liefert detaillierte Ergebnisse zur Fehlerbehebung oder Überwachung der Ransomware-Aktionen.

• --no-logs: Unterdrückt das Drucken von Protokollen während der Ausführung der Ransomware.

• --Driver $DRIVER: Gibt ein Ziellaufwerk für die Verschlüsselung an, sodass die Ransomware alle Dateien und Ordner auf dem ausgewählten Laufwerk verschlüsseln kann.

• --Directory $DIRECTORY: Gibt einen Zielordner für die Verschlüsselung an, sodass die Ransomware alle Dateien und Unterordner darin verschlüsseln kann.

• --File $FILE: Gibt die zu verschlüsselnde Datei an.

• --Force: Ermöglicht die gleichzeitige Ausführung mehrerer Instanzen der Ransomware. Ist das Flag nicht gesetzt, versucht die Ransomware, den Mutex „Global\VanHelsing“ zu erstellen und bricht die Ausführung ab, falls dieser bereits existiert. Dadurch wird den Analysten zufolge sichergestellt, dass jeweils nur eine Instanz ohne dieses Flag ausgeführt werden kann.

• --no-priority: Ist das Flag nicht gesetzt, erhöht die Malware die Priorität ihres Prozesses, wodurch das System die Ausführung der Ransomware gegenüber anderen Prozessen priorisiert.

• --no-wallpaper: Ist dieses Flag gesetzt, ändert die Malware das Desktop-Hintergrundbild nicht.

• --no-local: Wenn dieses Flag gesetzt ist, verschlüsselt die Ransomware keine lokalen Dateien auf dem Computer. Dadurch beschränkt sich ihr Angriff möglicherweise auf Netzwerklaufwerke, Remote-Systeme oder bestimmte Verzeichnisse.

• --no-mounted: Dieses Flag stellt sicher, dass die Ransomware nur lokale Festplatten verschlüsselt und entfernte oder gemountete Laufwerke wie Netzwerkfreigaben oder externe Speichergeräte ausschließt.

• --no-network: Wenn dieses Flag gesetzt ist, vermeidet die Ransomware die Verschlüsselung von Netzwerklaufwerken und konzentriert sich ausschließlich auf lokale Laufwerke oder andere angegebene Ziele.

• --no-admin: Ermöglicht die Ausführung der Ransomware, auch wenn der Prozess nicht mit Administratorrechten ausgeführt wird.

• --skipshadow: Wenn dieser Befehl angegeben ist, überspringt die Ransomware das Löschen von Schattenkopien und lässt möglicherweise Systemsicherungen intakt.

• --spread-smb: Ermöglicht die Verbreitung der Ransomware auf SMB-Servern, indem sie von den Netzwerkfreigaben kopiert und ausgeführt wird.

Zudem sei die Ransomware in der Lage, sich eigenständig in Systeme einzuschleusen und dort weiter zu verbreiten. Dafür nutze sie verschiedene Infektionsvektoren wie gehackte Fernwartungszugänge wie TeamViewer. Außerdem könne VanHelsing verschiedene Betriebssysteme attackieren, darunter Microsoft Windows, Linux, BSD, ARM und ESXi.

Experten warnen vor Lösegeldzahlungen

Wie Ransomware deutsche Unternehmen lahmlegt

RaaS zur Miete

Die Akteure hinter VanHelsing scheinen die RaaS als Mietmodell anzubieten. Renommierte Hacker könnten sogar kostenlos Mieter werden. Neulinge müssen CPR zufolge 5.000 US-Dollar für den Zugang bezahlen. Sollte mit VanHelsing Lösegeld erbeutet werden, würde der Entwickler 20 Prozent davon einkassieren.

Für diesen Preis würden die Mieter die Ransomware und eine einfach zu bedienende Konsole erhalten, mit der sie ihre Attacken lenken können. Laut Check Point ist VanHelsing seit dem 7. März 2025 für Cyberkriminelle verfügbar. Die Sicherheitsforscher entdeckten zwei Varianten der Ransomware am 16. März. Die erste Variante wurde am 16. März aktualisiert. Die zweite Variante wurde am 11. März kompiliert. Beide sind im Einsatz und haben in zwei Wochen bereits drei bekannte Opfer angegriffen.

Cyberkriminalität in Deutschland

Das Geschäftsmodell der Hacker

Angreifer fordern eine halbe Millionen Lösegeld

In allen drei von CPR beobachteten Fällen hätten die Angreifer ein Lösegeld in Höhe von 500.000 US-Dollar gefordert. Dies war der Preis für das Entschlüsseln der Daten, die Summe musste in Bitcoin auf ein Wallet eingezahlt werden. Die Lösegeldforderung hätten die Opfer in Form einer README.txt-Datei erhalten.

In dieser Datei seien die Betroffenen informiert worden, dass personenbezogene Datensätze, Finanzdaten und kritische Dokumente verschlüsselt worden seien. Der Einsatz von Programmen dritter Parteien zur Entschlüsselung führe zu dauerhaftem Datenverlust. Daneben hätten sich die genauen Anweisung zur Zahlung befunden. Ob hinter allen drei Angriffen der selbe Akteur steckt ist CPR nicht bekannt.

Rechtliche Grauzone

Lösegeld-Zahlungen bei Ransomware-Angriffen lösen das Problem nicht!

Angriffswelle der Medusa-Malware

Check Point veröffentlicht zudem weitere Informationen zur bereits bekannten Ransomware „Medusa“. Diese ist 2021 das erste Mal aktiv geworden. Seitdem haben sich mehr als 300 Opfer von Vorfällen bei US-Behörden gemeldet. Diese Zahl könne jetzt steigen, denn seit Februar 2025 hätten die Operationen der Gruppe zugenommen.

Warum mobile Authentifizierung nicht genug ist

Was Phishing as a Service so gefährlich macht

Die von Medusa betroffenen Branchen reichen Check Point zufolge von Technologie über die Fertigung bis hin zum Bildungs- und Versicherungswesen. Der Hauptinfektionsvektor von Medusa seien Phishing-Kampagnen. In den bisher bekannten Fällen hätten die Hacker eine Website für Datenlecks eingerichtet, auf der die Namen der Opfer neben Countdown-Timern aufgelistet seien. Die Timer würden angeben, wann die gestohlenen Informationen veröffentlicht würden. Dieses Vorgehen erhöhe den Druck auf die Organisationen und dränge sie zur Zahlung des Lösegelds.

Die Leak-Website der Gruppe hinter Medusa enthalte auch Informationen über Lösegeldforderungen und direkte Links zu Crypto-Wallets. Die Kriminellen würden ihren Opfer für 10.000 US-Dollar in Krypto-Währung außerdem die Möglichkeit bieten, die Zahlungsfrist zu verlängern. Gleichzeitig würde damit gedroht, die Daten an Dritte zu verkaufen.

Vier Maßnahmen gegen Ransomware

Um sich gegen VanHelsing, Medusa und ähnliche Bedrohungen zu schützen, empfiehlt Check Point Unternehmen die folgenden vier Maßnahmen zu ergreifen:

• Einsatz von E-Mail-Security-Lösungen, die verdächtige E-Mails automatisch identifizieren und blockieren, bevor sie Mitarbeiter erreichen.

• KI-basierte Lösungen, um bisher unbekannte Phishing-Versuche und bösartige Anhänge zu erkennen.

• E-Mail-Authentifizierung, um die Identität des Absenders zu verifizieren und E-Mail-Spoofing zu verhindern. Diese Taktik wird häufig bei Kampagnen zum Sammeln von Zugangsdaten angewendet.

• Unternehmen sollten die Widerstandsfähigkeit der Mitarbeiter durch automatisierte Phishing-Simulationen und Schulungen zum Sicherheitsbewusstsein stärken.

Zukunftsfähige Cybersicherheit

Fünf Schlüsselebenen der End-to-End-Resilienz

(ID:50380102)