(Zwischen-)Bilanz eines Ransomware-as-a-Service-Betriebs REvil analysiert

REvil war eine der produktivsten Ransomware-Schmieden im Dark Web. Ihre Partner nahmen weltweit Tausende Technologieunternehmen, Managed Service Provider und die verschiedensten Industriezweige ins Visier. Wie funktionierte diese Cybercrime-Gruppe und was wurde ihr zum Verhängnis?

Anbieter zum Thema

Cohesity GmbH

Mimecast Germany GmbH

Rubrik Germany GmbH

Bitdefender GmbH

In den letzten Monaten feierten international kooperierende Cyber-Ermittler mehrere Erfolge gegen die Hintermänner der REvil-Ransomware-Attacken. Die erste Zwischenbilanz einer der größten Wellen erpresserischer Angriffe bietet Einblicke in das Geschäftsmodell und die Zusammenarbeit der kriminellen Partner, welche wirtschaftliche Erfolge die Ransomware-as-a-Service- (RaaS) Anbieter zunächst feierten, wie Ermittler die Urheber erkennen konnten, und welche Konflikte innerhalb der Angreifer entstanden.

Ein wichtiger Schlag gegen die REvil-Hintermänner erfolgte im November 2021: Im Zuge einer Razzia verhaftete das US-Justizministeriums mehrere sogenannte Partner (Affiliates) des REvil-Netzes und beschlagnahmte rund sechs Millionen Dollar an Lösegeldern. Zudem verhafteten rumänische Behörden im Rahmen der internationalen Operation GoldDust zwei weitere Partner. Laut der russischen Nachrichtenagentur Interfax haben dann der russische Inlandsgeheimdienst FSB und die russische Polizei im Januar 2022 vierzehn mutmaßliche REvil-Mitglieder festgenommen und dem eigenen Urteil nach die Organisation zerschlagen. Im Zuge der Aktion haben sie Finanzwerte in Form von mehreren Millionen US-Dollar sichergestellt: in Bar, in Kryptogeld oder auch als Sachwerte.

REvil (auch bekannt als Sodinokibi oder BlueCrab) ist - oder vielleicht: war - eine der produktivsten und profitabelsten Ransomware-Schmieden im Dark Web mit einem jährlichen Umsatz von 100 Millionen US-Dollar und einem Marktanteil von 16,5 Prozent. In Untergrundforen rühmten sich ihre Betreiber, keine Cashflow-Probleme zu haben. Kein Wunder, denn sie griffen gezielt Unternehmen an, die potent und genötigt waren, Lösegeld zu bezahlen (siehe Abbildung 1). Die Experten von Cyble Visions stellten im Juli 2021 fest, dass mit einem Anteil von 19 Prozent vor allem Fertigungsunternehmen angegriffen wurden. Hier sind Ausfallzeiten grundsätzlich kostspielig. Bei juristischen oder Finanzdienstleistern (15,5 bzw. 8,3 Prozent der Angriffe) ist mit einer sehr hohen Finanzkraft zu rechnen. Bau- (14.3 Prozent) und Gesundheitswesen (7,1 Prozent) verfügen vielleicht nicht über die beste Abwehr. Krankenhäuser können sich per se keinen Ausfall erlauben. Die Betrüger kalkulierten die Höhe des geforderten Lösegeldes entsprechend. Wenn dann das Lösegeld gezahlt wurde, floss es wieder in den Untergrund.

Wachstumsmodell Ransomware as a Service: Wie REvil so schnell wachsen konnte

REvil hat gezeigt: Auch im Untergrund werden „as-a-Service-Modelle“ immer beliebter. Ein RaaS-Anbieter (RaaS = Ransomware-as-a-Service) entwickelt Malware und stellt sie den kriminellen Affiliates bereit, die Penetrationstests ausführen, Unternehmen infiltrieren, Systeme infizieren und Lösegeld erpressen. Anders als bei einem Subskriptionsmodell mit einer festen Gebühr sind die Partner bei einem Dienst mit hohem Spezialisierungsgrad wie REvil am Gewinn beteiligt. Dabei unterhält der Betreiber die Krypto-Schadsoftware sowie die dazugehörige Infrastruktur – zu dem beispielsweise ein Portal gehört, über das die Betroffenen ihr Lösegeld zahlen können, oder auch einen regelrechten Support der zahlungswilligen Opfer, wie sie etwa Kryptogeld erwerben und übermitteln oder mit TOR-Browsern umgehen.

Bitdefender geht davon aus, dass etwa zehn Kernmitglieder und in Spitzenzeiten etwa 60 weitere Partner involviert waren; bei Letzteren lag die Gewinnbeteiligung bei 70 bis 80 Prozent. Angesichts solcher Margen ist es nicht verwunderlich, dass es zwischen den Ransomware-Banden zu einem Wettbewerb um die besten Fachkräfte kommt: Dass Mitglieder von einem Affiliate-Partner zum anderen wechseln, ist häufig. Ebenso lässt sich verfolgen, mit welchen Alleinstellungsmerkmalen die REvil-Betreiber für ihre Dienste warben: Sie prahlten mit ihrer Technologie vor allem in puncto Verschlüsselung.

Zum Leidwesen der Verteidiger auf Unternehmensseite entwickelt sich bei RaaS eine gefährliche Dynamik: Je besser der angebotene Malware-Code und die dazugehörigen Dienste wurden, desto professionellere Partner wurden angelockt. Diese haben dann Zugang zu lohnenderen Zielen gefunden, was höhere Lösegelder ermöglichte. Das gezahlte Geld wiederum investierten die Gruppen in den Ausbau des Dienstes oder in die Akquise noch besserer Affiliates. Kriminelle Kompetenz machte sich bezahlt und erwies sich als Wachstumsmotor.

Attribution: Wie man den Cyber-Kriminellen auf die Schliche kam

Grundsätzlich gilt: Die Attribution, also das Zuschreiben von Cyber-Angriffen an einen Täterkreis, ist ein schwieriges Unterfangen und ein hochkomplexer Prozess, der mit vielen Unwägbarkeiten verbunden ist. Bei REvil untersuchten die Bitdefender-Experten den Malware-Code ebenso wie die Methoden und Auftreten der Affiliates. Es zeigte sich, dass die REvil-Software nicht von Grund auf neu entwickelt wurde. Die Urheber des ebenfalls sehr erfolgreichen GandCrab-Codes entwickelten den Code weiter zum REvil-Angriff. Auch im Cyber-Untergrund ist Zeit Geld. Erstmals entdeckt wurde dann REvil im April 2019 – zwei Wochen, bevor GandCrab ankündigte, seine Aktivitäten einzustellen.

Die Angreifer holten das Lösegeld nach einem festgelegten Muster ein, mit minimalen Abweichungen bei dem Schlüssel und der URL. Die Korrespondenz enthielt neben Garantiezusagen auch Hinweise zur Kontaktaufnahme („Wir empfehlen den TOR-Browser“). Die Korrespondenz entwickelte sich zwischen 2019 und 2021: Ab Anfang 2020 war eine vermeintliche Garantiezusage enthalten, dass der REvil-Dekryptor besser arbeite als der einer anderen kriminellen Organisation. Versprochen wurde eine Wiederherstellungsrate von fast 100 im Vergleich zu lediglich 87 Prozent.

Zusätzlich zu dieser vergleichenden Werbung im kriminellen Milieu enthielten die Korrespondenzen der Erpresser in der letzten Phase neben einer direkten Anrede des betroffenen Unternehmens („Willkommen <Unternehmensname>“) auch den Hinweis auf die Europäische Datenschutz-Grundverordnung: Mit Verweis auf die bei einem Verstoß zwangsläufigen Strafen drohten die Kriminellen ihren Opfern, Geschäftsinformationen sowie persönliche Daten von Kunden und Geschäftspartnern zu veröffentlichen. Was für die Betroffenen zusätzliche Bußgelder (im Höchstfall 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes) nach sich gezogen hätte – vom Imageverlust ganz zu schweigen.

Mit dieser Keule in der Hinterhand erhöhten die Kriminellen systematisch den Druck: Falls Opfer im ersten Schritt nicht zahlten, veröffentlichten sie im zweiten Schritt geleakte Daten und forderten dann erneut Lösegeld, um das Vorgehen zu stoppen. Waren die Betroffenen immer noch nicht bereit zu zahlen, starteten die Gangster im dritten Schritt Distributed-Denial-of-Service-Angriffe auf deren Kunden und Geschäftspartner.

Vertrauen verspielt: Warum REvil zusammengebrochen ist

Es liegt auf der Hand, dass Reputation und gegenseitiges Vertrauen im Cyber-Untergrund entscheidend sind. Das gilt in besonderem Maße für einen arbeitsteiligen Prozess wie Ransomware as a Service, an dem mehrere Akteure beteiligt sind und - anders als bei einfachen Ransomware-Attacken - durchaus im intensiven Kontakt zueinanderstehen.

Das dafür notwendige Ansehen haben die Köpfe hinter REvil innerhalb der cyber-kriminellen Gemeinschaft zum Schluss verloren – weil sie mit ihrem provokanten und aufmerksamkeits­heischenden Verhalten gegen den Verhaltenskodex im cyberkriminellen Untergrund verstoßen und sich letztlich von den „Cyber-Kriminellen der alten Schule“ entfremdet haben.

Erschwerend kam hinzu, dass viele Partner in der Corona-Pandemie damit begannen, die Gesundheitsbranche und Pharmahersteller anzugreifen – auch solche, die zu diesem Zeitpunkt nach Medikamenten forschten. Andere Kriminelle fanden dies kontraproduktiv: Wäre die Pandemie dank der Medizin schneller vorüber, so die Logik der Kriminellen alter Schule, käme die Wirtschaft schneller wieder in Fahrt und es ließen sich wieder höhere Lösegelder einfordern.

Der Fall REvil zeigt: Um eine Gruppe von Cyber-Kriminellen nachverfolgen zu können, die – wie im vorliegenden Fall – den Betrieb vorübergehend einstellt und später unter anderem Namen wieder auftaucht, bedarf es des Zusammenspiels mehrerer Faktoren: einer Kombination aus Technologien und Diensten wie Managed-Detection-and-Response (MDR), heuristischer Analyse und maschinellem Lernen einerseits sowie Wissen, Expertise und Intuition der IT-Sicherheitsexperten andererseits.

Cyber-Sicherheit ist ein Mannschaftssport. Die Erfolge beim Kampf gegen REvil belegen eindrucksvoll, wie wichtig die enge Zusammenarbeit zwischen staatlichen und privatwirtschaftlichen Akteuren ist. Und das weltweit, denn auch Cyber-Kriminalität kennt keine Landesgrenzen.

Über den Autor: Bodgan Botezatu ist Director Threat Research and Reporting bei Bitdefender.

(ID:48030850)