Ransomware-Analyse von Dragos Operative Sabotage statt reiner Erpressung

Die Sicherheitsexperten des Herstellers Dragos haben weltweite Ransomware-Aktivitäten des Q3 2024 untersucht. Dabei zeigte sich, dass Kriminelle sowohl ihre Taktiken wie auch ihre Motivation verändern.

Im dritten Quartal 2024 haben Ransomware-Angriffe Deutschland besonders zugesetzt. Der „Industrial Ransomware Analyse Q3 2024“ von Dragos zufolge war Deutschland sogar eines der am stärksten betroffenen Länder in ganz Europa. Besonders betroffen waren die Branchen Fertigung, Transport und Technologie. Diese Entwicklung deute auf einen besorgniserregenden Trend hin: Cyberkriminelle attackieren gezielt Industrienationen und kritische Infrastrukturen.

Dragos Industrial Ransomware-Analyse Q2 2024

Eskalierende Ransomware-Bedrohungen für die Industrie

• 1. Nordamerika verzeichnete im Q3 2024 mit 304 Attacken, die Dragos beobachtete, die meisten Ransomware-Vorfälle, was etwa 55 Prozent der weltweiten Aktivitäten mit Verschlüsselung und Erpressung ausmachte. Die meisten davon zielten auf die USA und Kanada ab, wobei sich die Cyberkriminellen auch hier auf kritische Sektoren wie Fertigung, Versorgungswirtschaft und das Gesundheitswesen konzentrierten.

• 2. Mit 119 Vorfällen war Europa, was circa 22 Prozent der weltweiten Ransomware-Angriffe widerspiegelte. Das Vereinigte Königreich und Italien gehörten laut Dragos neben Deutschland zu den am stärksten betroffenen Ländern.

• 3. In Asien gab es im dritten Quartal des vergangenen Jahres 66 Ransomware-Vorfälle, was etwa zwölf Prozent der weltweiten Aktivitäten dieser Art waren. Brasilien und Argentinien waren dort die Hauptziele, wobei Regierungsoperationen und Transportsysteme im Fokus der Akteure waren.

• 4. 18 Ransomware-Vorfälle und somit drei Prozent der weltweiten Aktivitäten fanden im Nahen Osten statt.

• 5. Ozeanien hatte zwölf Vorfälle und somit zwei Prozent der weltweiten Ransomware-Vorfälle zu verzeichnen. Dort waren Neuseeland und Australien und die dortigen Sektoren Technologie, Bildung und das Gesundheitswesen die Hauptziele.

• 6. In Afrika verzeichnete Dragos acht Ransomware-Vorfälle, was weltweit etwa 1,5 Prozent der Vorfälle waren.

Experten warnen vor Lösegeldzahlungen

Wie Ransomware deutsche Unternehmen lahmlegt

Betriebsausfälle als Folge von Ransomware

Laut Dragos würden Ransomware-Angriffe in Deutschland einem breiteren europäischen Muster folgen, bei dem die Cyberkriminellen Sektoren mit einer geringen Toleranz für Betriebsausfälle in den Fokus nehmen. Zwar konnten die Analysten keine direkten Angriffe auf OT-Assets (Operational Technology) beobachten, dennoch hätten Ausfallzeiten durch Ransomware in IT-Umgebungen schwerwiegende Störungen industrieller Prozesse verursacht. Diese Störungen habe zu finanziellen Verlusten, Produktionsverzögerungen und Sicherheitsrisiken geführt, die durch die Vernetzung von IT- und OT-Systemen weiter verstärkt wurden.

Allianz Risk Barometer 2025

Die größten Geschäftsrisiken 2025 auf einen Blick

Neue und alte Ransomware-Gruppen

Zudem stellten die Experten von Dragos fest, dass sowohl neue wie auch etablierte Ransomware-Gruppen neuartige Taktiken, Techniken und Verfahren (TTPs) einsetzten, um unentdeckt zu bleiben und ihre Wirkung zu maximieren.

• RansomHub dominiert: Als aktivste Ransomware-Gruppe im dritten Quartal 2024 wurde RansomHub mit 90 Vorfällen weltweit identifiziert. Die Gruppe richtete sich aggressiv gegen Industrieunternehmen.

• Lockbit3.0 startet neu: Obwohl Lockbit den Analysen nach für 78 Vorfälle im dritten Quartal 2024 verantwortlich war, verlor die Gruppe aufgrund von Strafverfolgungsmaßnahmen an Einfluss. Viele ihrer Mitglieder wechselten zu anderen Gruppen.

• Aufstrebende Akteure: Erst kürzlich beobachtete Gruppen wie Eldorado und Play konzentrierten sich Dragos zufolge auf Schwachstellen in virtuellen Netzwerkanwendungen und Remote-Diensten. Dabei nutzten sie Tools, die auf kritische Umgebungen zugeschnitten sind.

Schwachstellen in VPN-Anwendungen und Fernzugriffssystemen auszunutzen ist laut Dragos eine zunehmende Taktik. Zudem würden Kriminelle Exploits oft mit Angriffen auf Zugangsdaten kombinieren, um die Multifaktor-Authentifizierung zu umgehen. Etwa 30 Prozent der Ransomware-Vorfälle seien im Q3 2024 im Zusammenhang mit Schwachstellen in VPN-Appliances oder schlecht verwalteten Anmeldeinformationen gestanden.

Während neue Ransomware-Gruppen entstehen, würden sich zeitgleich bestehende Banden weiter anpassen. So beobachtete Dragos einen Übergang einiger Akteure von reiner Erpressung hin zu operativer Sabotage. Statt nur durch finanzielle Aspekte angetrieben, sieht Dragos auch eine ideologische Motivation der Ransomware-Akteure.

Semperis Ransomware Risk Report 2024

75 Prozent der Ransomware-Opfer in Deutschland zahlen Lösegeld

(ID:50301065)