Mobile-Menu

Ransomware-as-a-Service RansomHub setzt auf neue Fernverschlüsselungstaktik

Quelle: Pressemitteilung 2 min Lesedauer

Anbieter zum Thema

Fsas Technologies GmbH
FAST LTA GmbH
FTAPI Software GmbH

Die Cyberanalysten von Check Point untersuchten jüngst eine neue Verschlüsselungsmethode, die vor allem von der Hackergruppe RansomHub verwendet wird. Die Gruppe ist seit Februar sehr aktiv und hat LockBit als Top-RaaS abgelöst.

Die Hackergruppe RansomHub löst LockBit als am meistverbreitete RaaS ab und nutzt eine neue Remote-Verschlüsselungstaktik.(Bild: Dall-E / KI-generiert)
Die Hackergruppe RansomHub löst LockBit als am meistverbreitete RaaS ab und nutzt eine neue Remote-Verschlüsselungstaktik.
(Bild: Dall-E / KI-generiert)

Mit nur einem einzigen ungeschützten Endpunkt Daten auf anderen Geräten im selben Netzwerk verschlüsseln: Dieses Vorgehen beobachteten die Analysten von Check Point erstmals 2023. In diesem Jahr habe sich diese Methode der Fernverschlüsselung jedoch rasant ausgebreitet. Dabei rufen die Cyberkriminellen Daten über ein ungeschütztes Gerät ab, verschlüsseln sie und ersetzen die Originaldatei durch die verschlüsselte Datei.

Fernverschlüsselung als nächste Stufe von Ransomware?

Check Point zufolge versuchten die Akteure bisher, die Dateien direkt vom verwalteten und geschützten Endpunkt aus zu verschlüsseln. Bei einer Fernverschlüsselung hingegen, würde keine Malware direkt auf dem verschlüsselten Gerät ausgeführt, sondern nur auf einem infizierten Endpunkt. Vor dort erfolge die Verschlüsselung im restlichen Netzwerk. Somit müssen die Kriminellen keine Malware mehr durch die Netzwerke schleusen. Stattdessen suchen die Akteure im Unternehmensnetzwerk nach ungesicherten Geräten oder Servern und führen von diesem Punkt die Verschlüsselung im gesamten Netzwerk aus. Das bedeutet, dass mehrere Geräte oder Server im Netzwerk ohne eine geeignete Endpunktlösung ein erhebliches Risiko für das gesamte Netzwerk darstellen. Da die betroffenen Geräte ungesichert sind, sei es erheblich schwerer, diese Art von Angriff zu erkennen und unschädlich zu machen.

RansomHub setzt auf Fernverschlüsselung

Eine Hackergruppe, die sich dieser neuen Taktik bedient, ist RansomHub. Dem Bericht von Check Point zufolge waren im September diesen Jahres 19 Prozent der auf Ransomware-Shame-Seiten veröffentlichten Betroffenen ein Opfer von RansomHub. Damit löst die Gruppe LockBit ab, die einst dominierende Ransomware-Gruppe, die laut Check Point nur noch für fünf Prozent der neuen Opfer verantwortlich ist.

Das BSI geht davon aus, dass die RaaS RansomHub seit Februar 2024 aktiv ist. Die CISA hat gemeinsam mit dem FBI, dem Multi-State Information Sharing and Analysis Center (MS-ISAC) und dem Department of Health and Human Services (HHS), das Advisory „#StopRansomware: RansomHub Ransomware“ veröffentlicht, welches Indikatoren für Kompromittierungen (IOCs), Taktiken, Techniken und Verfahren (TTPs) sowie Erkennungsmethoden im Zusammenhang mit RansomHub-Aktivitäten bietet. Laut CISA konnten diese Aktivitäten erst im August 2024 durch FBI-Untersuchungen sowie Berichte Dritter identifiziert werden.

Sergey Shykevich, Threat Intelligence Group Manager bei Check Point, kommentiert die Ergebnisse der Untersuchungen: „Das schnelle Wachstum von RansomHub und fortschrittliche Taktiken, wie die Fernverschlüsselung verändern die Ransomware-Landschaft. Es ist von entscheidender Bedeutung, dass Organisationen KI-gestützte Maßnahmen zur Bedrohungsabwehr ergreifen, um diesen neu auftretenden Bedrohungen immer einen Schritt voraus zu sein.“

(ID:50234616)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte