Methoden einer Ransomware-as-a-Service-Gruppe So arbeitet die Ransomware „RTM Locker“

Anbieter zum Thema

SEPPmail - Deutschland GmbH

Mimecast Germany GmbH

Eye Security GmbH

McAfee Germany GmbH

Die bislang weniger auffällige „Read the Manual“-Locker-Gruppe hat zuletzt damit begonnen, auch Unternehmen mit ihrer Ransomware zu infiltrieren und zu erpressen. Dabei geht es ihr laut eines Berichts des Advanced Research Teams (ARC) von Trellix weniger um Aufmerksamkeit und große Schlagzeilen, sondern vor allem darum, Geld zu verdienen. Dafür spricht auch die Professionalität und das strikte interne Regelwerk dieses Ransomware-as-a-Service-(RaaS-)Anbieters.

Anbieter von Ransomware-as-a-Service gibt es mittlerweile fast wie Sand am Meer – seit neustem auch die „Read the Manual“-(RTM-)Locker-Gruppe. Sie hat damit angefangen, Unternehmensumgebungen zu infiltrieren, nachdem sie zuvor durch andere Arten von Cyber-Kriminalität aufgefallen ist. Mittlerweile erpresst die RTM-Locker-Gruppe über ihre Mitglieder auch Opfer im Business-Umfeld.

Das Besondere dabei: Die Hacker-Gruppe zeichnet sich mit Blick auf ihre Mitglieder durch ein äußerst strenges Regelwerk aus und versucht nach außen hin, eine bestimmte Aufmerksamkeitsschwelle nicht zu überschreiten. Es geht ihr also offensichtlich nicht darum, Schlagzeilen zu produzieren, sondern im Gegenteil möglichst unauffällig Geld einzutreiben.

Für die deutliche Business-Orientierung der Gruppe spricht zum Beispiel, dass ihre Mitglieder sich verpflichten, dauerhaft aktiv zu bleiben. So wird jeder Partner der Gruppe ausgeschlossen, der länger als 10 Tage inaktiv bleibt, ohne dies vorher anzukündigen. Weitere explizite Regeln sollen vor allem sicherstellen, dass die Aktivitäten der RTM-Locker-Gruppe nicht in den Fokus von Strafverfolgungsbehörden oder Security-Analysten geraten.

Nur keine Aufmerksamkeit erregen

So ist es zum Beispiel verboten, Leichen- oder Krankenhäuser zu infiltrieren, aber auch Unternehmen, die Teil der Lieferkette für die COVID-19-Impfstoffe sind. Auch sind Ziele in Ländern der osteuropäischen und zentralasiatischen „Gemeinschaft unabhängiger Staaten“ (GUS) tabu sowie größere Unternehmen, da beides der Gruppe sonst eine zu hohe Aufmerksamkeit bescheren könnte. Auch ist es den Mitgliedern verboten, Chats der Verhandlungen mit den Opfern öffentlich zu verlinken, wie überhaupt alle Chats – zumindest angeblich – verschlüsselt sind. Auch diesbezüglich sind die Akteure also äußerst vorsichtig, obwohl die RTM-Locker-Website nur über das TOR-Netzwerk zugänglich ist.

So soll vermieden werden, dass Mainstream-Medien auf die Gruppe aufmerksam werden und diese ins Rampenlicht rücken – wie es zum Beispiel der DarkSide-Gang im Jahr 2021 passiert ist, nachdem der US-amerikanische Pipeline-Betreiber Colonial Pipeline nach einer Ransomware-Attacke präventiv sein Rohrleitungsnetz außer Betrieb nahm. Daraufhin mussten große Mengen Öl und Benzin mit Tankwagen über die Straße transportiert werden, was wiederum zu Lieferengpässen an den Tankstellen führte.

Selbstzerstörung bei Erfolg

Darüber hinaus soll der Aufbau der RTM-Locker-Malware geheim bleiben, damit diese möglichst lange nicht analysiert werden kann. Folgerichtig beinhaltet die Schadsoftware auch einen Selbstlöschungsmechanismus, der sich aktiviert, sobald die Zielgeräte des Opfers verschlüsselt sind. Die Weitergabe des RTM-Lockers ist den Mitgliedern ebenfalls verboten, etwa wenn diese einen Angriff an dritte Auftragspartner delegieren wollen. Nicht zuletzt darf die gesamte Kommunikation mit der RTM-Gruppe ausschließlich über den TOX-Messenger erfolgen. All diese Vorsichtsmaßnahmen machen deutlich: Das wichtigste Ziel der Gruppe ist es, möglichst unbemerkt zu agieren und unbekannt zu bleiben.

Innerhalb des Panels der GTM-Gruppe können die angeschlossenen Miltglieder Erpressungsopfer hinzufügen. Dabei bedienen sie sich der üblichen Methoden, die auch andere Ransomware-Gruppen nutzen: nämlich ihre Opfer zweimal zu erpressen. Dies geschieht zum einen durch die Verschlüsselung der Dateien auf den Rechnern der Opfer, die dadurch nicht mehr verwendbar sind. Zum anderen erfolgt die Drohung, gestohlene und abgezogene Daten zu veröffentlichen, um entweder (Geschäfts-)Geheimnisse der Opfer zu enthüllen oder diese auch zu beschämen.

Manipulation von Domain-Berechtigungen

Obwohl die GTM-Ransomware nicht verschleiert ist, enthält sie keine Symbole. Sie folgt einem klaren Ausführungsablauf:

Um das Zielsystem effektiv zu blockieren, verschlüsselt der RTM-Locker so viele Dateien wie möglich. Zugleich prüft die Ransomware, ob sie über die notwendigen administrativen Berechtigungen für die jeweilige Systemdomäne verfügt, welche uneingeschränkten Zugriff auf die jeweiligen Rechner ermöglicht.

Der RTM-Locker nutzt keinen Exploit, um diese Berechtigungen zu erhalten. Die Ransomware startet vielmehr einfach mit den erforderlichen Berechtigungen und erzeugt ein Dialogfeld zur Benutzerkontensteuerung. Wenn das Opfer der Ausführung zustimmt, startet die neue Instanz mit allen angeforderten Berechtigungen, während sich die aktuelle Locker-Instanz selbst beendet. Lehnt das Opfer die Aufforderung ab, fordert die Malware die Berechtigungen so lange an, bis sie dann doch erteilt werden.

Die weiteren Schritte als Teil einer detaillierten technischen Analyse des GTM-Locker-Vorgehens beschreibt dieser Trellix-Blog-Beitrag. Es ist unwahrscheinlich, dass der GTM-Locker über eine automatisierte Kampagne verbreitet wird. Denn er funktioniert nur dann richtig, wenn er die erforderlichen administrativen Rechte erhalten hat. Da jedoch die meisten Unternehmen den meisten Benutzern solche Berechtigungen nicht erteilen, ist es wahrscheinlicher, dass der Locker erst dann ausgeführt wird, wenn er ein Netzwerk bereits unter Kontrolle hat.

Dies kann durch Phishing-Angriffe, bösartige Spam-Mails (allgemein als Malspam bekannt) geschehen, aber auch anfällige öffentlich zugängliche Systeme oder gekaufte Zugänge. Hinzu kommt, dass die GTM-Gruppe versucht, möglichst wenig Aufmerksamkeit zu erregen. Großflächige Malspam-Kampagnen laufen diesem Ziel zuwider. Deshalb ist derzeit davon auszugehen, dass die GTM-Gruppe versucht, einzelne, sich zufällig ergebende Gelegenheiten zu nutzen, anstatt einzelne Branchen oder ganz bestimmte Unternehmen ins Visier zu nehmen.

XDR als Gegenmittel

So ist es wahrscheinlich, dass die meisten der GTM-Locker-Angriffe mit einer einfachen Phishing-E-Mail beginnen. Deshalb bleibt der beste Schutz für Unternehmen, die eigenen Mitarbeitenden darüber aufzuklären, wie sie Phishing-E-Mails erkennen und melden sowie robuste Backups einrichten können – eingebettet in ein XDR-System (XDR, Extended Detection and Response), das vor allem drei heute sehr weit verbreiteten Fehlern vorbeugt: sich erstens zu sehr auf die letzten, statt auf die kommenden Bedrohungen zu konzentrieren, zweitens fehleranfällige manuelle Prozesse zu langsam durch sichere Automatismen abzulösen und drittens nicht alle Vektoren und Angriffspunkte abdeckt. Alle drei Versäumnisse sind auch im Fall der GTM-Locker-Angriffe relevant und können gegebenenfalls zum Erfolg der Malware wesentlich beitragen.

Über den Autor: Max Kersten ist Malware Analyst bei Trellix.

(ID:49531671)