„As-a-Service“-Angebote finden sich überall in der IT. Diese Service-Idee haben auch Cyber-Kriminelle adaptiert und bieten seit einiger Zeit Ransomware-as-a-Service kurz RaaS an. Damit führen auch unbedarftere Angreifer Ransomware-Attacken aus. Die Zahl der Angriffe steigt so stark an. Eine Analyse von Arctic Wolf.
Wie eine Studie des Digitalverbands Bitcom e.V. zeigt, waren 2020/21 88 Prozent aller Unternehmen von Ransomware-Angriffen betroffen. Dabei spielt gerade der Boom von Remote Work, Homeoffice, Cloudifizierung und vernetzten IoT-Geräten den Angreifern in die Hände, da diese Trends die Angriffsfläche vergrößern und neue Einfallstore bieten.
Bei solchen Angriffen dringen die Cyberkriminellen in die Unternehmenssysteme ein und stehlen und/oder verschlüsseln bestimmte Informationen. Um diese Daten wieder entschlüsseln zu können, wird dann ein Lösegeld gefordert. Neben dem erheblichen finanziellen Schaden, der durch die Zahlung oder die Recovery-Prozesse entsteht, können solche Angriffe zudem zu einem enormen Reputationsschaden führen. Ein Großteil dieser Attacken (schätzungsweise 64 Prozent) finden bereits mithilfe der RaaS-Methode statt – Tendenz steigend.
A Service from the Dark Side
Bei RaaS-Angeboten stellen Ransomware-Gruppen wie z.B. Conti, REvil oder RagnarLocker und deren Splittergruppen und Nachfolger entsprechende Tools oder Plattformen sowie ergänzende Services wie Anleitungen, Best Practices und sogar einen IT-Helpdesk zur Verfügung. Obwohl die Gruppennamen dabei höchst volatil sind, bleiben die eigentlichen Akteure häufig die gleichen. Sie handeln höchst professionell und haben mit dem gängigen Hacker-Klischee des Kapuzenpulli-tragenden Einzeltäters nichts zu tun. Tatsächlich sind sie kaum von seriösen Unternehmen zu unterscheiden: Mit eigener Personalabteilung, Bonusprogrammen und Auszeichnungen für den „Angestellten des Monats“, wie jüngst ein Hack zeigte.
Cybergangster mit Unternehmensstruktur
Aufzufinden sind die Dienstleistungen meist über das Deep oder Dark Web. Die Anbieter unterscheiden sich dabei teilweise stark in ihrem Angebot. Ganz wie bei seriösen Service-Providern, bieten auch die RaaS-Banden vom einfachen Kauf einer Ransomware bis hin zum Abo-Modell alles, was das (kriminelle) Herz begehrt. Auch bei der Preisstrategie liefern die Anbieter verschiedene Modelle – von der Einmalzahlung beim Kauf, über Leasing-Modelle bis hin zu Anteilen am Lösegeld.
Entscheidender Erfolgsfaktor für RaaS-Angriffe sind Kryptowährungen wie Bitcoin, Monero und Co., da diese nur schwer zurückzuverfolgen sind und sich vergleichsweise einfach „waschen“ lassen. Daher eignen sie sich hervorragend für RaaS-Zahlungen und Lösegeldforderungen und es ist nicht anzunehmen, dass der kürzliche Kursverfall bei Kryptowährungen viel dran ändern wird. Die gefallenden Kurse werden einfach in der Verhandlungsphase mit dem Opfer ausgeglichen.
Was tun, wenn es ernst wird?
Die Verschlüsselung der Systeme und die Drohung, die so erbeuteten Daten, wie Kundeninformationen, Produktdetails und Finanzdaten, zu veröffentlichen, kann für Unternehmen existenzbedrohend sein. Das macht RaaS so attraktiv und Ransomware zu einem ungemein mächtigen Druckmittel in den Händen der Cyberkriminellen. War ein Ransomware-Angriff erfolgreich, herrscht bei vielen Unternehmen häufig zunächst Ratlosigkeit. Verzweifelt und hilflos wissen sie sich oftmals nicht anders zu helfen, als der Lösegeldforderung nachzukommen – obwohl LKA, BKA und BSI strikt davon abraten, um die organisierte Kriminalität nicht zusätzlich zu finanzieren und Motivation für weitere Taten zu schaffen. Wie aber sollten Unternehmen richtig reagieren?
Nach dem Angriff zählt die Ruhe
Dr. Sebastian Schmerl, Director Security Services EMEA, Arctic Wolf
Zunächst einmal gilt es Ruhe zu bewahren! Der akute Angriff ist nicht der richtige Zeitpunkt für Schuldzuweisungen. Vielmehr heißt es jetzt zusammenarbeiten und nicht überstürzt handeln. Die entsprechenden Behörden sollten umgehend informiert werden (diese stehen auch beratend zur Seite). Wenn ein Unternehmen bereits einen Notfallplan in der Schublade hat, sollte dieser befolgt werden. Im nächsten Schritt heißt es, die Situation zu analysieren, zu reflektieren und dann die notwendigen Gegenmaßnahmen einzuleiten. Wenn die internen Ressourcen und Fachkenntnisse in dieser Ausnahmesituation fehlen, können Unternehmen auch auf die professionelle Hilfe von externen Security-Dienstleistern wie Arctic Wolf zurückgreifen.
- Im ersten Schritt muss der Ist-Zustand geklärt werden. Das bedeutet die Durchführung von Incident-Response-Maßnahmen, um die weitere Ausbreitung des Vorfalls zu stoppen.
- Ist der Status quo geklärt, müssen das Schadensausmaß und die Recovery-Optionen ermittelt werden. Welche Back-ups sind noch verfügbar und müssen offline geschalten werden? Welche Services sind betroffen, welche Daten verschlüsselt, und welche Recovery-Aktionen müssen durchgeführt werden?
- Sind diese Fragen geklärt, geht es im dritten Schritt darum, die Threat-Intelligence-Informationen zusammenzutragen, d.h. alle Infos über die Angreifer, die verwendete Malware sowie zu ähnlichen Vorfällen.
- Im vierten Schritt muss der Business Case aufgestellt werden – soll der Lösegeldforderung nachgekommen werden oder nicht? Dabei sollten alle Aspekte ganz genau abgewogen werden: Das Kapital des Unternehmens, mögliche Reputationsschäden, Klagen etc.
- Im fünften und letzten Schritt geht es ans Eingemachte: die Verhandlungen mit den Cyberkriminellen. Hierbei gibt es zwei Punkte zu beachten: Es wird mit Kriminellen verhandelt, d.h. es gibt keine Garantien. Dennoch ist Höflichkeit geboten, um das Gegenüber nicht unnötig zu verärgern.
Ransomware: Vorsorge ist besser als Nachsorge
Unabhängig davon, ob das Lösegeld gezahlt wurde oder nicht, sollte der Fall gut aufgearbeitet werden, um das Unternehmen zukünftig besser aufzustellen. Nach dem Angriff sollten daher zunächst alle Systeme sorgfältig gescannt und bereinigt sowie die Log-in-Daten aller User neu vergeben werden. Außerdem sollte ein intensives Hunting bzw. Public-, Dark- und Deep-Web-Monitoring folgen, um sicherzustellen, dass wirklich keine Daten veröffentlicht wurden.
Zu guter Letzt gilt: Better safe than sorry! “Der beste Schutz vor Ransomware-Angriffen ist eine gute Vorbereitung. Sicherheitslücken und Systemschwachstellen sollten mit regelmäßigen Patches geschlossen und ein umfangreiches Security-Monitoring durchgeführt werden. Die größte Schwachstelle ist, wie so oft, der Faktor Mensch. Die wichtigste Maßnahme ist daher, die Mitarbeitenden regelmäßig zu schulen und so ein Security-Mindset im Unternehmen zu etablieren. Fehlen dem Unternehmen hierfür die nötigen internen Ressourcen, können diese sich an vertrauensvolle Security-Experten – wie Arctic Wolf – wenden, welche bei der Umsetzung dieser Security-Maßnahmen unterstützen. Wird all das berücksichtigt, ist das Unternehmen bestens auf den Ernstfall vorbereitet.” so Dr. Sebastian Schmerl, Director Security Services EMEA, Arctic Wolf.
Mehr bei ArcticWolf.com
Über Arctic Wolf Arctic Wolf ist ein weltweiter Marktführer im Bereich Security Operations und bietet die erste cloudnative Security-Operations-Plattform zur Abwehr von Cyber-Risiken. Basierend auf Threat Telemetry, die Endpunkt-, Netzwerk- und Cloud-Quellen umfasst, analysiert die Arctic Wolf® Security Operations Cloud weltweit mehr als 1,6 Billionen Security Events pro Woche. Sie liefert unternehmenskritische Erkenntnisse zu nahezu allen Security Use Cases und optimiert die heterogenen Sicherheitslösungen der Kunden. Die Arctic Wolf Plattform ist bei mehr als 2.000 Kunden weltweit im Einsatz. Sie bietet automatisierte Threat Detection und Response und ermöglicht es Unternehmen jeder Größe, auf Knopfdruck erstklassige Security Operations einzurichten.
Passende Artikel zum Thema