Hinter vielen Cyberangreifern stehen nicht nur Einzelgänger in dunklen Räumen. Vielmehr sehen sich einige APT -Gruppen als Business-Companys die nicht mehr selbst agieren, sondern nur noch ihre Dienste und Technologie verkaufen und kräftig mitkassieren. Das bringt Geld und senkt das Risiko. Hier ein kurze Erklärung, wie etwa RaaS – Ransomware as-a-Service funktioniert.
In der IT werden Produkte mittlerweile vor allem als Services angeboten, wie Platform-as-a-Service (PaaS) oder Infrastructure-as-a-Service (IaaS). Diese bestehen aus einer Vielzahl von Unterservices, die im Sinne der Arbeitsteilung und Professionalisierung wiederum von unterschiedlichen Anbietern zur Verfügung gestellt werden – ein erfolgreiches Konzept, das sich auch Cyberkriminelle zu Nutze machen. Dabei liefern unterschiedliche Angreifergruppen die einzelnen Teile des gesamten End-to-End-Ransomware-Services. Diese Ransomware-Service-Blöcke sind gut beschrieben und können leicht in verschiedenen Qualitätsstufen erworben werden.
Geschäftsmodell Ransomware-as-a-Service
Ransomware-as-a-Service (RaaS) hat sich in den letzten Jahren zu einem echten Geschäftsmodell mit hochprofessionalisierten Akteuren entwickelt, und das nicht zuletzt, weil sich die mögliche Angriffsfläche für Cyberkriminelle deutlich vergrößert hat. Nach Schätzungen sind im Jahr 2020 64 % aller Ransomware-Angriffe mit dem RaaS-Ansatz durchgeführt worden.
Mit dem Boom von Remote Work und Homeoffice stieg u. a. auch die Zahl der Geräte, die außerhalb der geschützten Unternehmensperimeter zum Einsatz kommt. Zudem werden aufgrund des Wechsels zu cloudbasierten Diensten und Infrastrukturen die IT-Landschaften komplexer und sind damit schwieriger abzusichern. Angreifer brauchen nur eine einzige Schwachstelle finden; Unternehmen müssen alle Eventualitäten absichern und mit den neuesten Angriffsstrategien schritthalten.
RaaS ist ein professionelles Business
„Das RaaS-Business hat sich in den letzten Jahren extrem professionalisiert: Die kriminellen Anbieter liefern unterschiedlichste Angriffs-Tools und einzelne Angriffschritte als Services und legen dabei großen Wert auf Service. Die Tools werden zusammen mit Anleitungen für die Durchführung von Angriffen, bewährten Verfahren, Lösegeldstrategien und sogar einem IT-Helpdesk angeboten“, erklärt Dr. Sebastian Schmerl, Director Security Services EMEA bei Arctic Wolf. „RaaS bietet nicht selten genau die Art von Dokumentation und Architektur, die man auch von gängigen SaaS-Angeboten erwarten würde, und ist weit entfernt von der popkulturellen Darstellung des stereotypen, kapuzenpullitragenden Einzelgängers.“
Wie in der SaaS-Branche gibt es auch bei RaaS unterschiedliche Preisstrategien der Anbieter. Einige bieten ihre Angriffsdienste als einmaligen Kauf an, andere im Rahmen von Abonnements, wieder andere nutzen eine Kombination aus Abonnement und einem Anteil an der Lösegeldgebühr, die nach einem erfolgreichen Angriff an den Entwickler gezahlt wird. Im letzteren Fall sind die Anbieter durchaus wählerisch und arbeiten nur mit Kunden zusammen, die eine gewisse Erfolgsbilanz vorweisen können. Es erfolgt also eine initiale Rentabilitätsprüfung.
Warum ist RaaS so erfolgreich?
Kryprowährungen sind ein entscheidender Faktor für den Erfolg von RaaS. Weil Währungen wie Bitcoin und Monero schwer zurückzuverfolgen sind, eignen sie sich für RaaS-Zahlungen und Lösegeldforderungen. Zudem lassen sich die Kryptowährungen vergleichsweise einfach in „sauberes Geld“ umwandeln, was sie für bösartige Akteure, die auf schnellen Profit aus sind, attraktiv macht.
Einfach ausgedrückt: RaaS ist so erfolgreich, weil Ransomware ein mächtiges Druckmittel darstellt – Stichwort „Double extortion“: Verschlüsselung der IT verbunden mit der Drohung der Datenveröffentlichung. Hinzu kommt, dass Unternehmen im Fall von gestohlenen oder gesperrten Daten häufig nicht wissen, was in der Situation zu tun ist. Oft halten sie die Zahlung des Lösegelds für die einzige Option, obwohl LKA, BKA und BSI den Unternehmen dringend davon abraten.
Der Einsatz von Ransomware ist nicht nur eine effektive Angriffsstrategie, RaaS-Dienste sind auch vergleichsweise leicht zugänglich, nutzbar und anpassungsfähig. Häufig nutzen Angreifer eine Ransomware-Plattform zur Verwaltung der Opfer und der zugehörigen Stati und entwickeln diese Plattform und die einzelnen Angriffsmodule kontinuierlich weiter. So können sie leicht neue Funktionen einbauen, die die Plattform noch „skalierbarer und produktiver“ machen. Einige Angreifer-Gruppen kooperieren zudem bei der Bearbeitung der Opfer und teilen Code für Angriffsmodule.
So können Unternehmen sich schützen
Obwohl die Angreifer organisiert und hochprofessionell vorgehen, können Unternehmen sich vor Ransomware-Angriffen schützen. Der wichtigste Faktor bei der Abwehr von Cyber-Bedrohungen ist ein proaktiver Ansatz mit präventiven Maßnahmen:
- Etablierung eines Security-Mindsets bzw. einer sicherheitsbewussten Unternehmenskultur: Dies beginnt mit der Aufklärung über Cyber-Hygiene und der Erkenntnis, dass Sicherheit kein Zustand, sondern ein kontinuierlicher Prozess ist. Wenn sich die Bedrohungen ändern, sollten die Bedrohungsdaten genutzt werden, um die Verteidigungsstrategien und die Sicherheitsinformationsressourcen anzupassen.
- Mitarbeiterschulungen, um ein Bewusstsein für die Bedrohungen zu schaffen und zu erklären, wie sie Phishing-Betrügereien und andere Warnsignale erkennen können. Das ist besonders wichtig, da sich Social-Engineering-Angriffe direkt gegen Mitarbeitende richten.
- Ausschöpfen aller Möglichkeiten, um die Datensicherheit zu erhöhen, beispielsweise durch häufigere Backups. Dabei sollten Backups in separaten Verwaltungsbereichen gespeichert werden, damit sie nicht zusammen mit den aktiv genutzten Daten gefährdet werden (Air-Gapped-Lösung).
- Regelmäßiges Patchen der Systeme, da RaaS-Angreifer häufig bekannte Schwachstellen und Konfigurationsfehler ausnutzen.
- Umfangreiches Security-Monitoring, um Cyberattacken schnell zu erkennen und entsprechende Maßnahmen zu ergreifen. Detection and Response wird von Anbietern wie Arctic Wolf auch als Service angeboten Managed Detection and Response (MDR).
Über Arctic Wolf Arctic Wolf ist ein weltweiter Marktführer im Bereich Security Operations und bietet die erste cloudnative Security-Operations-Plattform zur Abwehr von Cyber-Risiken. Basierend auf Threat Telemetry, die Endpunkt-, Netzwerk- und Cloud-Quellen umfasst, analysiert die Arctic Wolf® Security Operations Cloud weltweit mehr als 1,6 Billionen Security Events pro Woche. Sie liefert unternehmenskritische Erkenntnisse zu nahezu allen Security Use Cases und optimiert die heterogenen Sicherheitslösungen der Kunden. Die Arctic Wolf Plattform ist bei mehr als 2.000 Kunden weltweit im Einsatz. Sie bietet automatisierte Threat Detection und Response und ermöglicht es Unternehmen jeder Größe, auf Knopfdruck erstklassige Security Operations einzurichten.