Cybersicherheit RaaS und Zero-Day-Schwachstellen: Die Evolution der Ransomware

Anbieter zum Thema

Check Point Software Technologies GmbH

duagon Germany GmbH

NetModule AG

RECOM Power GmbH

Vom ersten Ransomware-Trojaner bis zu Ransomware-as-a-Service und Zero-Day-Angriffen: Cybersicherheitsexperten klären darüber auf, wie sich die Cyberangriffe im Laufe der Zeit verändert haben und von welchen Attacken aktuell die größten Gefahren ausgehen.

Ransomware, eine Art von Schadsoftware, die Daten auf infizierten Computersystemen verschlüsselt und zur Entschlüsselung Lösegeld von den Opfern fordert, trat erstmals in den späten 1980er-Jahren auf. Das erste dokumentierte Beispiel war das „AIDS“-Trojaner-Programm, das im Jahr 1989 verbreitet wurde. Es wurde über Disketten an Forschungseinrichtungen verschickt. Nach einiger Zeit verschlüsselte das auf den Disketten befindliche Programm die Daten auf der Festplatte und forderte die Nutzer auf, Schecks an ein Postfach in Panama zu senden, um einen Lizenzschlüssel zur Entschlüsselung der Daten zu erhalten.

Viel Zeit ist seit dem ersten Ransomware-Vorfall, verursacht vom US-amerikanischen Biologen Joseph L. Popp Jr., vergangen. Im Laufe der Jahre hat sich Ransomware erheblich weiterentwickelt und verschiedene Formen angenommen. Frühe Versionen verwendeten einfache Verschlüsselungsalgorithmen, während moderne Varianten robuste Verschlüsselung verwenden. Polymorphe Ransomware wieder ändert kontinuierlich ihr Aussehen, um ihre Erkennung zu vermeiden.

Und dann gibt es noch einige Ransomware-Angriffe die die Datenexfiltration bereits vor der Verschlüsselung beinhalten. Sie sehen: Heute bezieht sich der Begriff Ransomware nicht mehr allein auf die Verschlüsselung von Daten, sondern wird zur Charakterisierung von Cyberangriffen verwendet, bei denen ein finanziell motivierter Akteur Kontrolle über die Vermögenswerte des Opfers erlangt und Druck ausübt, um Geld zu erpressen.

Rise of the RaaS

RaaS steht für „Ransomware-as-a-Service“ und bezeichnet ein Geschäftsmodell, bei dem Cyberkriminelle Ransomware-Dienste anbieten. Das bedeutet also plump gesagt, dass Ransomware zum Service wird, den jedermann buchen kann. Die Anbieter von RaaS stellen ihren Kunden die Infrastruktur, Werkzeuge und Anleitungen zur Verfügung, um Ransomware-Angriffe durchzuführen. Gleichzeitig umfasst das Angebot oft die Entwicklung, Bereitstellung und Verwaltung der Ransomware sowie den technischen Support für diejenigen, die sie nutzen möchten. Weil Ransomware-Attacken auf diesem Wege zugänglicher werden, kommt es unweigerlich zu einer Zunahme der Verbreitung und Vielfalt von Ransomware.

Bei der Untersuchung der Trends bei Ransomware schauen die Analysten von Check Point, einem Anbieter von Cybersecurity-Lösungen für Unternehmen, selbstverständlich auf die neuen Features, die Ransomware-as-a-Service (RaaS)-Anbieter einführen, um schnell reagieren zu können. Zu diesen Features gehören Tricks wie Verschlüsselungsmechanismen, die bestimmte Sicherheitsmaßnahmen umgehen, oder schnellere Verschlüsselungsgeschwindigkeiten.

Auch neue Erpressungsmethoden wie die Datenexfiltration und die Drohung, gestohlene Daten zu veröffentlichen, werden zunehmend eingesetzt. Laut Check Points Cybersecurity-Bericht 2024 wurde 2023 zudem die Ausweitung von Ransomware auf Linux-Systeme beobachtet. Nichts und niemand scheint mehr sicher vor diesen Cyberattacken und Ransomware ist inzwischen zu einem kostspieligen Problem für die Opfer geworden.

Stillstand der Produktion

Die Auswirkungen von Ransomware auf den Geschäftsbetrieb sind mittlerweile eskaliert und erreichten im Jahr 2023 einen weiteren Höhepunkt. Ein Beispiel: ALPHV-Mitglieder und -Kollaborateure griffen im September 2023 die zwei größten Casino-Betreiber und Glücksspielanbieter der Welt an, MGM Resorts International und Caesars Entertainment. Während vonseiten Caesars 15 der geforderten 30 Millionen US-Dollar gezahlt wurden, entschloss man sich bei MGM dagegen und schaltete alle Systeme für mehrere Wochen ab. Dabei entstand ein geschätzter Schaden von 100 Millionen US-Dollar für den Konzern.

In einem anderen Fall wurde der australische Hafenbetreiber DP World von einem schweren Ransomware-Angriff heimgesucht, der 40 Prozent des Containerhandels des Landes für mehrere Tage zum Erliegen brachte. Laut Berichten wurden bei diesem Angriff keine Daten verschlüsselt - ein weiteres Beispiel dafür, dass sich Ransomware vom ursprünglichen Prinzip weiterentwickelt hat.

Ob beim jüngst bekannt gewordenen Cyberangriff gegen die Varta-IT Ransomware eingesetzt wurde, ist nicht offiziell bekannt, steht aber wohl zu vermuten. Selbst einen Monat nach der Attacke konnten bisher nicht alle Systeme wieder in ihren ursprünglichen Zustand versetzt werden. Weil die Produktion für längere Zeit ausgesetzt werden musste, steht zu vermuten, dass ein spürbarer wirtschaftlicher Schaden genommen wurde.

Zero-Day-Schwachstellen

Zero-Day-Schwachstellen sind Sicherheitslücken in Software, für die zum Zeitpunkt ihrer Entdeckung noch keine Patches oder Lösungen verfügbar sind. Der Begriff „Zero Day“ bezieht sich darauf, dass Entwickler keine Zeit hatten, die Schwachstelle zu beheben, bevor sie von potenziellen Angreifern ausgenutzt werden konnte. Laut den Daten von Check Point kam es 2023 zu einer Zunahme bei großangelegten Ransomware-Cyberangriffen.

„Die RaaS-Gruppe CL0P nutzte eine Zero-Day-Schwachstelle im GoAnywhere-Tool für die sichere Dateiübertragung aus, was zu Einbrüchen führte, von denen über 130 Organisationen betroffen waren. Anfang Juni nutzte CL0P eine Zero-Day-Schwachstelle aus, die den Zugriff auf die Dateiübertragungssoftware MOVEit erlaubte, was zur Kompromittierung von mehr als 2.600 Organisationen führte. Einen ähnlichen Angriff führte CL0P im Jahr 2021 durch, als eine Zero-Day-Schwachstelle in der File Transfer Appliance von Accellion ausgenutzt wurde, um in die Datenbanken mehrerer Kunden einzudringen. In all diesen Fällen wurden die Ziele sorgfältig ausgewählt, da sie ein hohes Kundenaufkommen und eine hohe Datenqualität aufwiesen und ermöglichten, den Angriff auf weitere Opfer auszuweiten“, berichtet Check Point.

Allerdings ging es CL0Ps Attacken nicht darum, die Daten zu verschlüsseln, sondern man drohte damit, die Beute zu veröffentlichen oder zu verkaufen. Gelingt eine solche Attacke auf hochsensible Daten von Elektronikkonzernen, dann ist das ein großes Problem. Denn wer möchte seine patentierten Designs und Lösungsansätze für komplexe Probleme bei einem potenziellen Mitbewerber wissen, der Cyberkriminellen dafür einfach „nur“ die passende Menge an Geld geboten hat?

Diese Strategie des Nicht-Verschlüsselns trifft gar Opfer, die regelmäßig Backups erstellen und Datenwiederherstellungsmöglichkeiten nutzen. Der „laute“ Anteil der Verschlüsselung fällt damit weg. Die laute Verschlüsselungsphase eines Ransomware-Angriffs ist der Zeitpunkt, an dem die Ransomware beginnt, Dateien auf dem infizierten System zu verschlüsseln. Während dieser Phase werden Dateien schnell und effizient unlesbar gemacht, während eine Benachrichtigung angezeigt wird, die ein Lösegeld für die Entschlüsselung fordert. Werden die Daten nicht verschlüsselt, dann entfällt auch der Verwaltungsaufwand mit den Lizenzschlüsseln.

Zero-Day-Schwachstellen sind eine wirtschaftliche Entscheidung

Zero-Day-Exploits sind stark nachgefragt und können je nach Ziel zwischen Tausenden und Millionen von US-Dollar kosten. Zero-Day-Schwachstellen haben oft eine begrenzte Lebensdauer, abhängig davon, wie schnell die Entwickler Patches bereitstellen. CL0P nutzt laut Check Point-Angaben immer noch eine in der IT-Service-Management-Plattform SysAid aus; Lockbit und Akira hantieren mit einer Schwachstelle in Cisco-Appliances.

„Andere finanziell motivierte fortschrittliche Gruppen wie DarkCasino haben die WinRAR-Schwachstelle (CVE-2023-38831) ausgenutzt, um Online-Händler zu bestehlen. Der empfohlene Preis für einen WinRAR RCE-Exploit von Zerodium beträgt 80.000 US-Dollar“, schreibt Check Point. „In einem anderen Fall wurde die Nokoyawa-Ransomware von einem finanziell motivierten Akteur eingesetzt, der eine Zero-Day-Schwachstelle im Windows Common Log File System (CLFS) ausnutzte, um seine Rechte zu erweitern.“

Die Wahrscheinlichkeit einer Zunahme von Zero-Day-Exploits hängt stark von wirtschaftlichen Faktoren ab. Wenn potenzielle Gewinne die Investitionen rechtfertigen, könnten solche Angriffe zunehmen. „Zum Schutz sind robuste Maßnahmen wie Anti-Ransomware-Software, Data Loss Prevention (DLP) und Extended Detection and Response (XDR) erforderlich“, hält Check Point im Cybersecurity-Report 2024 fest. Denn: Das Nachgeben bei Lösegeldforderungen mag zwar kurzfristig helfen, langfristig ermutigt es Cyberkriminelle allerdings nur. (sb)

Erholung nach Cyberangriff

Vartas Produktion läuft nach einem Monat weitestgehend wieder

Cybersicherheit in der Halbleiterbranche

Wie NXP jahrelang unbemerkt ausspioniert wurde

(ID:49968048)