Mobile-Menu

Dominant im RaaS-Markt Wer ist RansomHub?

Von Melanie Staudacher 4 min Lesedauer

Anbieter zum Thema

FTAPI Software GmbH

RansomHub hat sich schnell als eine der führenden Ransomware-as-a-Ser­vice-Gruppe etabliert. Sie wird als Nachfolger von LockBit in der Cy­ber­crime-Landschaft wahrgenommen, doch hat ganz eigene Vorgehensweisen und Taktiken entwickelt.

RansomHub erlaubt es seinen RaaS-Partnern, die komplette Lösegeldsumme zu behalten und auch mit anderen Gruppen zu arbeiten. Möglicherweise konnte sich RansomHub so als eine der dominierenden Ransomware-Gruppen etablieren.(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)
RansomHub erlaubt es seinen RaaS-Partnern, die komplette Lösegeldsumme zu behalten und auch mit anderen Gruppen zu arbeiten. Möglicherweise konnte sich RansomHub so als eine der dominierenden Ransomware-Gruppen etablieren.
(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)

Kaum eine Hackergruppe hat eine solch interessante Entstehungsgeschichte wie „RansomHub“. Die Gruppe wurde Anfang 2024 während eines Cyberangriffs auf Change Healthcare gegründet. Change Healthcare ist ein amerikanisches Unternehmen im Gesundheitswesen, das jährlich etwa 15 Milliarden medizinische Abrechnungen bearbeitet und digitale Lösungen zur Ver­wal­tung und Abwicklung von Gesundheitsdaten, einschließlich Patientenakten und Ab­rech­nungs­un­ter­la­gen, anbietet. Bei diesem Vorfall wurden die Gesundheitsdaten von Change Healthcare von Affiliate-Akteuren der „ALPHV“-Gruppe gestohlen. ALPHV, auch bekannt als „BlackCat“, ist eine bekannte Ransomware-Organisation, die für ihre ausgeklügelten Angriffe und die Nutzung des Ransomware-as-a-Service (RaaS) Modells berüchtigt ist.

Der Angriff auf Change Healthcare führte zu erheblichen Störungen der Systeme durch das Ran­somware-Netzwerk von ALPHV. Laut den Vertragsbedingungen hätte die Affiliate-Akteure einen Großteil der Lösegeldzahlung von 22 Millionen US-Dollar erhalten, während ALPHV einen kleineren Anteil bekommen sollte. Allerdings stahlen die Hauptakteure von ALPHV die gesamte Auszahlung. Sicherheitsforscher wie die von Check Point gehen davon aus, dass dies ein ge­plan­ter Betrug war, wobei die Affiliates, die normalerweise unterstützt wurden, zurückgelassen wurden. Trotz des gestohlenen Lösegelds hatten die Partner-Akteure weiterhin Zugang zu sen­si­blen Gesundheitsdaten von Change Healthcare.

Im April 2024 gründeten diese ursprünglichen Affiliate-Akteure ihr eigenes Erpressungs­un­ter­neh­men namens RansomHub. Unmittelbar danach erpressten sie die Muttergesellschaft von Change Healthcare, UnitedHealth, mit den gestohlenen Daten aus dem vorherigen ALPHV-An­griff. Dieses Vorgehen brachte RansomHub viel Aufmerksamkeit auf dem Schwarzmarkt und sicherte der Gruppe bedeutende finanzielle Erfolge durch ihre Lösegeldforderungen.

Wer steckt hinter RansomHub?

  • Name: RansomHub
  • Alias: keine
  • Erste Aktivität: Februar 2024 beim ALPHV-Angriff auf Change Healthcare
  • Motivation: Finanzielle Bereicherung durch Erpressung, insbesondere mit Ransomware-as-a-Service und doppelte Erpressung

Wer sind die Opfer von RansomHub?

  • Primäre Ziele: Infrastrukturen kritischer Bereiche, Gesundheitswesen, Finanzsektor und Bildungseinrichtungen
  • Fokusländer: Hauptsächlich USA und Europa, Russland, Nordkorea, China und Kuba scheinen explizit verschont zu werden
  • Deutsche Angriffsziele: Deutscher Ärzteverband Hartmannbund im November 2024, Grohe im Januar 2025,

Vorgehensweise von RansomHub

RansomHub setzt auf maßgeschneiderte Tools, um Sicherheitslösungen abzuschalten und Funktionen zu umgehen. Selbst entwickelt haben die Akteuren den sogenannten „EDR­Kill­Shifter“, eine Software, die dafür entwickelt wurde, Schutzsysteme auf kompromittierten Rech­nern auszuschalten. Wie Eset beschreibt, geschieht dies durch die gezielte Manipulation fehlerhafter Treiber inden Betriebssystemen der Opfer. RansomHub stellt EDRKillShifter auch seinen RaaS-Partnern und -Kunden zur Verfügung, was den Sicherheitforschern nach un­ge­wöhn­lich in der Szene sei. Mittlerweile würden auch andere Hackergruppe wie „Play“, „Medusa“ und „BianLian“ das Tool verwenden.

RansomHub rekrutierte seine ersten Mitglieder Anfang 2024 über das russischsprachige Forum „RAMP“. Anders als ALPHV, deren Betrug bei der Attacke auf Change Healthcare zur Entstehung von RansomHub führte, scheint RansomHub eine soziale Ader für seine Partner zu haben. Denn diese dürfen die gesamte erpresste Summe behalten und es steht ihnen frei eine Beteiligung von zehn Prozent an die Entwickler abzutreten. Dieses Vertrauensprinzip unterscheidet Ran­som­Hub laut Eset von vielen anderen RaaS-Anbietern, die in der Regel feste Abgaben verlangen.

Ebenfalls bemerkenswert ist, dass mehrere Mitglieder von RansomHub parallel für ri­va­li­sier­en­de Gruppen wie Play, Medusa und BianLian arbeiten. Dies deute darauf hin, dass die Grenzen zwischen den einzelnen Akteuren in der Szene zunehmend verschwimmen. Zudem verfolge RansomHub interessanterweise eine gezielte Auswahl an Zielen für ihre Attacken. Un­ter­neh­men und Institutionen in Russland, Nordkorea, China und Kuba werden scheinbar verschont, was ein Hinweis darauf sein könnte, dass politische oder geografische Faktoren bei der Auswahl eine Rolle spielen.

RansomHub als Nachfolger von LockBit

RansomHub konnte sich im Laufe des Jahres 2024 in kurzer Zeit als führende RaaS-Plattform etablieren, nachdem etablierte Konkurrenten wie ALPHV/BlackCat und LockBit durch Maß­nah­men internationaler Behörden stark geschwächt wurden.

Nachdem LockBit an Einfluss verloren hatte, wechselten ehemalige Mitglieder der Gruppe zu anderen Gruppen,viele zu RansomHub. Die Gruppe profitierte dadurch von wertvollem Wissen und Erfahrung und konnte ihre Kapazitäten und Reichweite erhöhen. Dies führte dazu, dass RansomHub in der Cybercrime-Landschaft als Nachfolger von LockBit angesehen wurde. Doch laut Eset ist RansomHub nicht nur ein Nachfolger von LockBit, sondern ein eigenständiger Akteur mit neuen Strategien.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Schutz vor RansomHub

Um sich vor den ausgefeilten Angriffen durch RansomHub schützen zu können, empfehlen Forschungsteams folgende Maßnahmen:

  • Setzen Sie Extended- sowie Endpoint-Detection-and-Response (X/EDR). Diese Systeme können Ransomware-Verhalten wie schnelle Datenverschlüsselung erkennen und be­troffene Geräte automatisch isolieren.
  • Halten Sie Backups außerhalb des Netzwerks, um sie vor Ransomware-Angriffen zu schützen.
  • Stellen Sie sicher, dass Ihre Backups physisch isoliert sind und nicht versehentlich manipuliert werden können.
  • Verschlüsseln Sie Backups und aktivieren Sie Multifaktor-Authentifizierung für den Zugriff.
  • Entfernen Sie das Remote Desktop Protocol (RDP) von offenen Internetverbindungen und verwenden Sie VPN mit Multifaktor-Authentifizierung.
  • Deaktivieren Sie unnötige Dienste und Ports und implementieren Sie Application Whitelisting.
  • Halten Sie Betriebssysteme, Anwendungen und Firewalls auf dem neuesten Stand.
  • Minimieren Sie Administratorrechte und nutzen Sie starke Passwörter.
  • Schulen Sie Mitarbeiter zur Erkennung von Phishing-Versuchen.
  • Verwenden Sie Tools zur Netzwerküberwachung, um verdächtige Aktivitäten schnell zu erkennen.
  • Führen Sie regelmäßige Scans durch, um bekannte Schwachstellen und bösartige Software zu identifizieren.

(ID:50784260)

Weiterführende Inhalte