Datendiebstahl, statt Verschlüsselung Ransomware ohne Verschlüsselung

Anbieter zum Thema

F5 Networks GmbH

FAST LTA GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Cyberkriminelle haben Ransomware-Attacken weiterentwickelt: Sie verzichten auf die aufwendige Verschlüsselung der erbeuteten Daten und drohen damit, diese zu veröffentlichen. So können sie schneller Lösegeld fordern. Unternehmen müssen darauf reagieren und die Einschleusung verschlüsselter Malware konsequent verhindern.

Die Zahl der Ransomware-Opfer ist im ersten Quartal 2023 weltweit um 143 Prozent gestiegen. Das zeigt die Studie „Cybersecurity Trends 2023“ der Allianz-Versicherung. Demnach wird Ransomware ihre Opfer bis 2031 jährlich rund 265 Milliarden US-Dollar kosten.

Dabei wächst die Gefahr nicht kontinuierlich, sondern in einer Art Zick-Zack-Kurve. Zum Beispiel verzeichnete das turbulente, von der Pandemie gekennzeichnete Jahr 2021 einen Anstieg ausgeklügelter, folgenschwerer Angriffe. Im folgenden Jahr gab es einen Hoffnungsschimmer, dass Unternehmen im Kampf gegen Ransomware die Oberhand gewinnen könnten. Der Anteil von Ransomware an den Vorfällen ging von 21 Prozent im Jahr 2021 auf 17 Prozent im Jahr 2022 zurück. Und die Ransomware-Zahlungen fielen von 765,6 Millionen Dollar auf 456,8 Millionen Dollar.

Es herrschte vorsichtiger Optimismus. Doch 2023 schlug die harte Realität wieder zu. In der sich ständig weiterentwickelnden Bedrohungslandschaft richtete Ransomware weiterhin großen Schaden an und wurde sogar noch weiterentwickelt.

Entwicklung von Ransomware

Seit den Anfängen von Ransomware-Angriffen dringen Cyberkriminelle meist in das System eines Opfers ein, verschlüsseln wertvolle Daten mit starken Verschlüsselungsmethoden und fordern Lösegeld für deren Entschlüsselung. Das Dilemma des Opfers ist klar: entweder das Lösegeld zahlen oder den Zugriff auf wichtige Daten verlieren.

Um ihre Effektivität aufrechtzuerhalten, haben Ransomware-Banden verschiedene weitere Taktiken entwickelt. Zum Beispiel werden bei der doppelten Erpressung nicht nur die Daten verschlüsselt. Es wird auch damit gedroht, die gestohlenen Informationen zu veröffentlichen oder sie im Dark Web zu verkaufen. Den ersten größeren Fall mit dieser Methode gab es 2019.

Nur ein Jahr später sorgte die dreifache Erpressung für Schlagzeilen. Diese fügt der doppelten Erpressung noch einen Schritt hinzu. Denn hier werden sensible Informationen über Kunden, Mitarbeitende oder andere mit dem Opfer verbundene Personen genutzt, um diese ebenfalls zu erpressen.

Der neueste Schritt

Unternehmen haben sich inzwischen auf Ransomware-Attacken eingestellt. Sie erzeugen regelmäßig Backups ihrer Daten und entwickeln Entschlüsselungs-Tools, um kein Lösegeld zahlen zu müssen.

Entsprechend entwickeln aber auch die Ransomware-Gangs ihre Strategien immer weiter. Statt den zeitaufwändigen Prozess der Datenverschlüsselung zu durchlaufen, überspringen sie diesen ganz. Sie konzentrieren sich nun darauf, Zugang zu sensiblen Daten zu erhalten. Anschließend drohen sie damit, diese zu veröffentlichen oder zu versteigern.

Für betroffene Unternehmen ist es im Vergleich zur Verschlüsselung noch schwieriger zu überprüfen, ob die Angreifer wirklich wie behauptet die relevanten Daten erbeutet haben oder nicht. Es reicht also oft schon die Androhung, dass sie brisante Inhalte veröffentlichen werden. Zudem können Angreifer damit drohen, den Vorfall bei Behörden zu melden – gerade im Zuge von NIS2 eine erhebliche Gefahr.

Bei einem Angriff ohne Verschlüsselung wird daher mehr auf psychologischen Druck gesetzt, um die Opfer zur Zahlung des Lösegelds zu zwingen. Die Geschwindigkeit, Einfachheit und geringere technische Komplexität im Vergleich zu verschlüsselungs­basierten Angriffen machen diese Technik gefährlich. Mögliche Auswirkungen von verschlüsselungs­losen Angriffen sind etwa:

• Schnellere Lösegeldforderungen: Bei verschlüsselungs­losen Angriffen können Cyberkriminelle schneller Lösegeld fordern, da sie den Verschlüsselungsschritt auslassen. Die Opfer sehen sich unter erheblichem Druck, das Lösegeld zu zahlen, um die Preisgabe ihrer Daten zu verhindern.

• Rufschädigung: Die bloße Drohung der Offenlegung von Daten kann schwerwiegende Auswirkungen auf Unternehmen haben. Gestohlene sensible Informationen, darunter Kundendaten, Finanzunterlagen oder geistiges Eigentum, können zu erheblichen Vertrauensproblemen bei Kunden, Partnern und in der Öffentlichkeit führen.

• Regulatorische Konsequenzen: Unternehmen, die mit persönlichen oder sensiblen Daten umgehen, unterliegen verschiedenen staatlichen und branchenspezifischen Datenschutzvorschriften. Im Falle eines Datenschutzverstoßes können hohe Geldstrafen und rechtliche Folgen die finanziellen Auswirkungen verstärken und die Bewältigung der Situation weiter erschweren.

Die Erpressergruppe BianLian

Ein Beispiel für eine Cybercrime-Bande, die sich auf Ransomware ohne Verschlüsselung umstellt, ist BianLian. Laut einem vom FBI, der CISA und dem Australian Cyber Security Centre veröffentlichten Cybersecurity Advisory hat BianLian seit Juni 2022 kritische Infrastrukturen und Organisationen in den USA und Australien ins Visier genommen.

Die Gang nutzte ursprünglich ein doppeltes Erpressungsmodell, ist aber seit Anfang 2023 vorwiegend auf Erpressung durch Exfiltration umgestiegen. In letzter Zeit hat sie wohl Save the Children ins Visier genommen. Die Gruppe behauptet, 6,8 TB an Daten von der gemeinnützigen Organisation gestohlen zu haben, darunter finanzielle, persönliche und medizinische Informationen.

Das Unternehmen schützen

Unternehmen können sich vor den noch schnelleren Lösegeldforderungen schützen, indem sie proaktiv handeln und dem Ansatz Zero-Trust folgen. Das Leitprinzip dahinter lautet: Vertraue nicht blind, sondern überprüfe immer.

Dies ist jedoch leichter gesagt als getan. Denn heute sind fast 90 Prozent des gesamten Internetverkehrs verschlüsselt – und die meisten Schadprogramme sind im verschlüsselten Datenverkehr versteckt. Wer Anwendungen, Daten und das Unternehmen vor Malware wie Ransomware schützen und eine umfassende Zero-Trust-Umgebung schaffen will, kann es sich aber nicht leisten, bei der Verschlüsselung blind zu sein.

So müssen Unternehmen geeignete Lösungen einsetzen, die eine leistungsstarke Entschlüsselung des ein- und ausgehenden verschlüsselten Datenverkehrs bieten. Dies ermöglicht es den bestehenden Sicherheitslösungen, Bedrohungen aufzudecken und Ransomware-Angriffsketten zu stoppen, bevor sie Server und Benutzergeräte erreichen. Damit sichern sich Unternehmen sowohl vor verschlüsselungs­losen Angriffen als auch der sich weiterentwickelnden Ransomware ab.

Über den Autor: Stephan Schulz ist Senior Solutions Engineer bei F5.

(ID:49998566)