Cyberangreifer vermarkten RaaS: Ransomware-as-a-Service

Cyberangreifer vermarkten RaaS: Ransomware-as-a-Service

Beitrag teilen

Hinter vielen Cyberangreifern stehen nicht nur Einzelgänger in dunklen Räumen. Vielmehr sehen sich einige APT -Gruppen als Business-Companys die nicht mehr selbst agieren, sondern nur noch ihre Dienste und Technologie verkaufen und kräftig mitkassieren. Das bringt Geld und senkt das Risiko. Hier ein kurze Erklärung, wie etwa RaaS – Ransomware as-a-Service funktioniert.

In der IT werden Produkte mittlerweile vor allem als Services angeboten, wie Platform-as-a-Service (PaaS) oder Infrastructure-as-a-Service (IaaS). Diese bestehen aus einer Vielzahl von Unterservices, die im Sinne der Arbeitsteilung und Professionalisierung wiederum von unterschiedlichen Anbietern zur Verfügung gestellt werden – ein erfolgreiches Konzept, das sich auch Cyberkriminelle zu Nutze machen. Dabei liefern unterschiedliche Angreifergruppen die einzelnen Teile des gesamten End-to-End-Ransomware-Services. Diese Ransomware-Service-Blöcke sind gut beschrieben und können leicht in verschiedenen Qualitätsstufen erworben werden.

Geschäftsmodell Ransomware-as-a-Service

Ransomware-as-a-Service (RaaS) hat sich in den letzten Jahren zu einem echten Geschäftsmodell mit hochprofessionalisierten Akteuren entwickelt, und das nicht zuletzt, weil sich die mögliche Angriffsfläche für Cyberkriminelle deutlich vergrößert hat. Nach Schätzungen sind im Jahr 2020 64 % aller Ransomware-Angriffe mit dem RaaS-Ansatz durchgeführt worden.

Mit dem Boom von Remote Work und Homeoffice stieg u. a. auch die Zahl der Geräte, die außerhalb der geschützten Unternehmensperimeter zum Einsatz kommt. Zudem werden aufgrund des Wechsels zu cloudbasierten Diensten und Infrastrukturen die IT-Landschaften komplexer und sind damit schwieriger abzusichern. Angreifer brauchen nur eine einzige Schwachstelle finden; Unternehmen müssen alle Eventualitäten absichern und mit den neuesten Angriffsstrategien schritthalten.

RaaS ist ein professionelles Business

„Das RaaS-Business hat sich in den letzten Jahren extrem professionalisiert: Die kriminellen Anbieter liefern unterschiedlichste Angriffs-Tools und einzelne Angriffschritte als Services und legen dabei großen Wert auf Service. Die Tools werden zusammen mit Anleitungen für die Durchführung von Angriffen, bewährten Verfahren, Lösegeldstrategien und sogar einem IT-Helpdesk angeboten“, erklärt Dr. Sebastian Schmerl, Director Security Services EMEA bei Arctic Wolf. „RaaS bietet nicht selten genau die Art von Dokumentation und Architektur, die man auch von gängigen SaaS-Angeboten erwarten würde, und ist weit entfernt von der popkulturellen Darstellung des stereotypen, kapuzenpullitragenden Einzelgängers.“

Wie in der SaaS-Branche gibt es auch bei RaaS unterschiedliche Preisstrategien der Anbieter. Einige bieten ihre Angriffsdienste als einmaligen Kauf an, andere im Rahmen von Abonnements, wieder andere nutzen eine Kombination aus Abonnement und einem Anteil an der Lösegeldgebühr, die nach einem erfolgreichen Angriff an den Entwickler gezahlt wird. Im letzteren Fall sind die Anbieter durchaus wählerisch und arbeiten nur mit Kunden zusammen, die eine gewisse Erfolgsbilanz vorweisen können. Es erfolgt also eine initiale Rentabilitätsprüfung.

Warum ist RaaS so erfolgreich?

Kryprowährungen sind ein entscheidender Faktor für den Erfolg von RaaS. Weil Währungen wie Bitcoin und Monero schwer zurückzuverfolgen sind, eignen sie sich für RaaS-Zahlungen und Lösegeldforderungen. Zudem lassen sich die Kryptowährungen vergleichsweise einfach in „sauberes Geld“ umwandeln, was sie für bösartige Akteure, die auf schnellen Profit aus sind, attraktiv macht.

Einfach ausgedrückt: RaaS ist so erfolgreich, weil Ransomware ein mächtiges Druckmittel darstellt – Stichwort „Double extortion“: Verschlüsselung der IT verbunden mit der Drohung der Datenveröffentlichung. Hinzu kommt, dass Unternehmen im Fall von gestohlenen oder gesperrten Daten häufig nicht wissen, was in der Situation zu tun ist. Oft halten sie die Zahlung des Lösegelds für die einzige Option, obwohl LKA, BKA und BSI den Unternehmen dringend davon abraten.

Der Einsatz von Ransomware ist nicht nur eine effektive Angriffsstrategie, RaaS-Dienste sind auch vergleichsweise leicht zugänglich, nutzbar und anpassungsfähig. Häufig nutzen Angreifer eine Ransomware-Plattform zur Verwaltung der Opfer und der zugehörigen Stati und entwickeln diese Plattform und die einzelnen Angriffsmodule kontinuierlich weiter. So können sie leicht neue Funktionen einbauen, die die Plattform noch „skalierbarer und produktiver“ machen. Einige Angreifer-Gruppen kooperieren zudem bei der Bearbeitung der Opfer und teilen Code für Angriffsmodule.

So können Unternehmen sich schützen

Obwohl die Angreifer organisiert und hochprofessionell vorgehen, können Unternehmen sich vor Ransomware-Angriffen schützen. Der wichtigste Faktor bei der Abwehr von Cyber-Bedrohungen ist ein proaktiver Ansatz mit präventiven Maßnahmen:

  • Etablierung eines Security-Mindsets bzw. einer sicherheitsbewussten Unternehmenskultur: Dies beginnt mit der Aufklärung über Cyber-Hygiene und der Erkenntnis, dass Sicherheit kein Zustand, sondern ein kontinuierlicher Prozess ist. Wenn sich die Bedrohungen ändern, sollten die Bedrohungsdaten genutzt werden, um die Verteidigungsstrategien und die Sicherheitsinformationsressourcen anzupassen.
  • Mitarbeiterschulungen, um ein Bewusstsein für die Bedrohungen zu schaffen und zu erklären, wie sie Phishing-Betrügereien und andere Warnsignale erkennen können. Das ist besonders wichtig, da sich Social-Engineering-Angriffe direkt gegen Mitarbeitende richten.
  • Ausschöpfen aller Möglichkeiten, um die Datensicherheit zu erhöhen, beispielsweise durch häufigere Backups. Dabei sollten Backups in separaten Verwaltungsbereichen gespeichert werden, damit sie nicht zusammen mit den aktiv genutzten Daten gefährdet werden (Air-Gapped-Lösung).
  • Regelmäßiges Patchen der Systeme, da RaaS-Angreifer häufig bekannte Schwachstellen und Konfigurationsfehler ausnutzen.
  • Umfangreiches Security-Monitoring, um Cyberattacken schnell zu erkennen und entsprechende Maßnahmen zu ergreifen. Detection and Response wird von Anbietern wie Arctic Wolf auch als Service angeboten Managed Detection and Response (MDR).
Mehr bei ArcticWolf.com

 


Über Arctic Wolf

Arctic Wolf ist ein weltweiter Marktführer im Bereich Security Operations und bietet die erste cloudnative Security-Operations-Plattform zur Abwehr von Cyber-Risiken. Basierend auf Threat Telemetry, die Endpunkt-, Netzwerk- und Cloud-Quellen umfasst, analysiert die Arctic Wolf® Security Operations Cloud weltweit mehr als 1,6 Billionen Security Events pro Woche. Sie liefert unternehmenskritische Erkenntnisse zu nahezu allen Security Use Cases und optimiert die heterogenen Sicherheitslösungen der Kunden. Die Arctic Wolf Plattform ist bei mehr als 2.000 Kunden weltweit im Einsatz. Sie bietet automatisierte Threat Detection und Response und ermöglicht es Unternehmen jeder Größe, auf Knopfdruck erstklassige Security Operations einzurichten.


 

Passende Artikel zum Thema

Cybersecurity-Plattform mit Schutz für 5G-Umgebungen

Cybersecurity-Spezialist Trend Micro stellt seinen plattformbasierten Ansatz zum Schutz der ständig wachsenden Angriffsfläche von Unternehmen vor, einschließlich der Absicherung von ➡ Weiterlesen

Datenmanipulation, die unterschätzte Gefahr

Jedes Jahr erinnert der World Backup Day am 31. März aufs Neue daran, wie wichtig eine aktuelle und leicht zugängliche ➡ Weiterlesen

Drucker als Sicherheitsrisiko

Die Flotte der Drucker von Unternehmen wird zunehmend zum blinden Fleck und birgt enorme Probleme für deren Effizienz und Sicherheit. ➡ Weiterlesen

Der AI Act und seine Folgen beim Datenschutz

Mit dem AI Act ist das erste Gesetz für KI abgesegnet und gibt Herstellern von KI-Anwendungen zwischen sechs Monaten und ➡ Weiterlesen

MDR und XDR via Google Workspace

Ob im Cafe, Flughafen-Terminal oder im Homeoffice – Mitarbeitende arbeiten an vielen Orten. Diese Entwicklung bringt aber auch Herausforderungen mit ➡ Weiterlesen

Windows Betriebssysteme: Fast zwei Millionen Rechner gefährdet

Für die Betriebssysteme Windows 7 und  8 gibt es keine Updates mehr. Das bedeutet offene Sicherheitslücken und damit lohnende und ➡ Weiterlesen

KI auf Enterprise Storage bekämpft Ransomware in Echtzeit

Als einer der ersten Anbieter integriert NetApp künstliche Intelligenz (KI) und maschinelles Lernen (ML) direkt in den Primärspeicher, um Ransomware ➡ Weiterlesen

DSPM-Produktsuite für Zero Trust Data Security

Data Security Posture Management – kurz DSPM – ist entscheidend für Unternehmen, um Cyber Resilience gegenüber der Vielzahl sich ständig ➡ Weiterlesen