Der IT-Sicherheitsanbieter Palo Alto Networks und dessen Malware-Analyseteam Unit42 berichten über neue Erkenntnisse zu „Ransom Cartel“ – einem Ransomware as a Service (RaaS)-Anbieter, der Mitte Dezember 2021 erstmals aufgetaucht ist. Technische gibt es Überschneidungen mit der REvil-Ransomware.
Diese Gruppe an Kriminellen führt doppelte Erpressungsangriffe durch und weist mehrere Ähnlichkeiten und technische Überschneidungen mit REvil-Ransomware auf. Die REvil-Ransomware verschwand nur wenige Monate, bevor das Ransom-Kartell auftauchte und nur einen Monat, nachdem 14 seiner mutmaßlichen Mitglieder in Russland festgenommen worden waren. Als Ransom Cartel zum ersten Mal auftauchte, war unklar, ob es sich um ein Rebranding von REvil oder um einen unabhängigen Bedrohungsakteur handelte, der den REvil-Ransomware-Code wiederverwendete oder nachahmte.
Ransom-Cartel-Ransomware in der Analyse
Palo Alto Networks und Unit42 stellen in ihrer aktuellen Analyse die Ransom-Cartel-Ransomware sowie eine Einschätzung der möglichen Verbindungen zwischen REvil und der Ransom-Cartel-Ransomware vor. Im Oktober 2021 wurde es still um die REvil-Betreiber. Die Dark-Web-Leak-Site von REvil wurde nicht mehr erreichbar. Etwa Mitte April 2022 berichteten einzelne Sicherheitsforscher und Cybersecurity-Medien über eine neue Entwicklung bei REvil, die die Rückkehr der Bande bedeuten könnte.
Parallel dazu hat Palo Alto Networks Ransom Cartel erstmals etwa Mitte Januar 2022 beobachtet. Sicherheitsforscher von MalwareHunterTeam glauben, dass die Gruppe mindestens seit Dezember 2021 aktiv war. Sie beobachteten die erste bekannte Ransom Cartel-Aktivität und stellten mehrere Ähnlichkeiten und technische Überschneidungen mit der REvil-Ransomware fest. Unit 42 hat auch beobachtet, wie Ransom Cartel-Gruppen gegen Organisationen vorgehen, wobei die ersten bekannten Opfer von uns im Januar 2022 in den USA und Frankreich beobachtet wurden. Ransom Cartel hat Organisationen in den folgenden Branchen angegriffen: Bildung, Fertigung sowie Versorgung und Energie.
Ransomware-as-a-Service als Geschäft
Die Kriminellen hinter Ransom Cartel sind Akteure, die den Verkauf eines kompromittierten Netzwerkzugangs anbieten. Ihre Motivation ist nicht, selbst Cyberangriffe durchzuführen, sondern den Zugang an andere Bedrohungsakteure zu verkaufen. Aufgrund der Rentabilität von Ransomware haben diese Broker wahrscheinlich Arbeitsbeziehungen mit RaaS-Gruppen, basierend auf dem Betrag, den sie zu zahlen bereit sind. Unit 42 hat Beweise dafür gesehen, dass sich Ransom Cartel auf diese Art von Diensten verlassen hat, um den ersten Zugriff für die Bereitstellung von Ransomware zu erhalten.
Schlussfolgerung der Security-Experten
Ransom Cartel ist eine von vielen Ransomware-Familien, die im Jahr 2021 aufgetaucht sind. Während Ransom Cartel doppelte Erpressung und einige der gleichen TTPs verwendet, die man oft bei Ransomware-Angriffen beobachtet, verwendet diese Art von Ransomware weniger verbreitete Tools – zum Beispiel DonPAPI – die man bei anderen Ransomware-Angriffen zuvor nicht beobachtet hat.
Die Betreiber von Ransom Cartel hatten eindeutig Zugriff auf den ursprünglichen Quellcode der REvil-Ransomware. Allerdings scheinen sie nicht über die Verschleierungs-Engine zu verfügen, die Zeichenfolgen und API-Aufrufe verschlüsselt oder versteckt. Daher spekulieren die Security-Experten, dass die Betreiber von Ransom Cartel eine Beziehung zu REvil-Gruppe hatten, bevor sie ihre eigene Operation starteten.
Weitere Auswertungen der Gruppe und technische Informationen finden sich bei Unit42 online.
Mehr bei PaloAltoNetworks.com
Über Palo Alto Networks Palo Alto Networks, der weltweit führende Anbieter von Cybersicherheitslösungen, gestaltet die cloudbasierte Zukunft mit Technologien, die die Arbeitsweise von Menschen und Unternehmen verändern. Unsere Mission ist es, der bevorzugte Cybersicherheitspartner zu sein und unsere digitale Lebensweise zu schützen. Wir helfen Ihnen, die größten Sicherheitsherausforderungen der Welt mit kontinuierlichen Innovationen anzugehen, die die neuesten Durchbrüche in den Bereichen künstliche Intelligenz, Analytik, Automatisierung und Orchestrierung nutzen. Durch die Bereitstellung einer integrierten Plattform und die Stärkung eines wachsenden Ökosystems von Partnern sind wir führend beim Schutz von Zehntausenden von Unternehmen über Clouds, Netzwerke und mobile Geräte hinweg. Unsere Vision ist eine Welt, in der jeder Tag sicherer ist als der vorherige.
One thought on “Ransomware-as-a-Service von Ransom Cartel kommt von REvil?”
Kommentare geschlossen