Das System Ransomware: Wie sich die Akteure organisieren und wie sie abrechnen

Anlässlich des Anti-Ransomware-Tags informiert Kaspersky   über das komplexe Ökosystem hinter Ransomware, das mit Entwicklern, Bot Master, Verkäufern von Zugangsdaten oder Ransomware-Betreibern aus einer Vielzahl an Akteuren besteht. Sie alle bieten im Darknet unterschiedliche Dienstleistungen via Anzeigen an.

Selbständig agierende, prominente Profigruppen besuchen solche Websites eigentlich nicht, aber REvil, beispielsweise, die in den vergangenen Quartalen zunehmend Organisationen im Visier hatten, veröffentlichen ihre Angebote und Neuigkeiten nun regelmäßig über Affiliate-Programme. Dabei entsteht eine Partnerschaft zwischen dem Ransomware-Betreiber und dem Kunden, wobei der Ransomware-Betreiber als Verkäufer eine Gewinnbeteiligung zwischen 20 und 40 Prozent erhält, während die verbleibenden 60 bis 80 Prozent beim "Affiliate-Partner" verbleiben. Die Auswahl der Partner folgt einem ausgefeilten Prozess mit Regeln, die von den Ransomware-Betreibern festgelegt wurden - einschließlich geografischer Beschränkungen oder politischer Ausrichtungen, gleichzeitig werden Ransomware-Opfer nutzenmaximierend ausgewählt.

Verkäufer und Kunde beziehungsweise Partner vereint das gemeinsame Streben nach Profit, weswegen es sich bei den am meisten infizierten Organisationen häufig um einfachere Ziele handelt, zu denen der Zugang besonders einfach war. Solche Zugänge werden auf Auktionsplattformen versteigert oder zu Fixpreisen ab 50 US-Dollar in Darknet-Foren angeboten. Bei den Angreifern handelt es sich meistens um Botnet-Besitzer, die an massiven und breit angelegten Kampagnen mitwirken und den Zugang auf die Geräte ihrer Opfer in großen Mengen verkaufen. Verkäufer von Zugangsdaten sind dagegen stets auf der Suche nach öffentlich bekannt gewordenen Schwachstellen in mit dem Internet verbundener Software, wie beispielsweise VPN-Applikationen oder E-Mail-Gateways, mit denen sie Organisationen infiltrieren können.

Ransomware-Betreiber verkaufen Malware-Samples und Ransomware-Builder in der Regel für 300 bis 4.000 US-Dollar. Ein weiteres Geschäftsmodell ist Ransomware-as-a-Service, bei dem Ransomware mit kontinuierlicher Unterstützung durch ihre Entwickler für 120 US-Dollar pro Monat oder 1.900 US-Dollar pro Jahr angeboten wird.

Kaspersky-Sicherheitstipps zum Schutz vor Ransomware-Angriffen:

• Software auf allen verwendeten Geräten immer auf dem neuesten Stand halten, um zu verhindern, dass Angreifer Sicherheitslücken ausnutzen und in Unternehmensnetzwerke eindringen.
  
• Die IT-Verteidigungsstrategie auf die Erkennung von lateralen Bewegungen und Datenexfiltration ins Internet fokussieren. Dabei besonders auf den ausgehenden Verkehr achten, um die Verbindungen durch Cyberkriminelle zu erkennen.
  
• Daten sollten regelmäßig über ein Backup gesichert werden, so dass ein Zugriff darauf bei Bedarf oder im Notfall jederzeit einfach möglich ist.
  
• Einen Ransomware-Schutz für alle Endpunkte aktivieren.
  
• Sichere und einzigartige Passwörter für jeden Dienst verwenden und diese nicht mit Dritten teilen.
  
• Eine Anti-APT- und EDR-Lösung implementieren, die Funktionen für die erweiterte Entdeckung und Erkennung von fortschrittlichen Bedrohungen sowie die Untersuchung und die rechtzeitige Behebung von Vorfällen ermöglicht.
  
• Das SOC-Team sollte stets Zugriff auf aktuelle Bedrohungsinformationen haben.