Ransomware-as-a-Service von Ransom Cartel kommt von REvil?

B2B Cyber Security ShortNews

Beitrag teilen

Der IT-Sicherheitsanbieter Palo Alto Networks und dessen Malware-Analyseteam Unit42 berichten über neue Erkenntnisse zu „Ransom Cartel“ – einem Ransomware as a Service (RaaS)-Anbieter, der Mitte Dezember 2021 erstmals aufgetaucht ist. Technische gibt es Überschneidungen mit der REvil-Ransomware.

Diese Gruppe an Kriminellen führt doppelte Erpressungsangriffe durch und weist mehrere Ähnlichkeiten und technische Überschneidungen mit REvil-Ransomware auf. Die REvil-Ransomware verschwand nur wenige Monate, bevor das Ransom-Kartell auftauchte und nur einen Monat, nachdem 14 seiner mutmaßlichen Mitglieder in Russland festgenommen worden waren. Als Ransom Cartel zum ersten Mal auftauchte, war unklar, ob es sich um ein Rebranding von REvil oder um einen unabhängigen Bedrohungsakteur handelte, der den REvil-Ransomware-Code wiederverwendete oder nachahmte.

Ransom-Cartel-Ransomware in der Analyse

Palo Alto Networks und Unit42 stellen in ihrer aktuellen Analyse die Ransom-Cartel-Ransomware sowie eine Einschätzung der möglichen Verbindungen zwischen REvil und der Ransom-Cartel-Ransomware vor. Im Oktober 2021 wurde es still um die REvil-Betreiber. Die Dark-Web-Leak-Site von REvil wurde nicht mehr erreichbar. Etwa Mitte April 2022 berichteten einzelne Sicherheitsforscher und Cybersecurity-Medien über eine neue Entwicklung bei REvil, die die Rückkehr der Bande bedeuten könnte.

Parallel dazu hat Palo Alto Networks Ransom Cartel erstmals etwa Mitte Januar 2022 beobachtet. Sicherheitsforscher von MalwareHunterTeam glauben, dass die Gruppe mindestens seit Dezember 2021 aktiv war. Sie beobachteten die erste bekannte Ransom Cartel-Aktivität und stellten mehrere Ähnlichkeiten und technische Überschneidungen mit der REvil-Ransomware fest. Unit 42 hat auch beobachtet, wie Ransom Cartel-Gruppen gegen Organisationen vorgehen, wobei die ersten bekannten Opfer von uns im Januar 2022 in den USA und Frankreich beobachtet wurden. Ransom Cartel hat Organisationen in den folgenden Branchen angegriffen: Bildung, Fertigung sowie Versorgung und Energie.

Ransomware-as-a-Service als Geschäft

Die Kriminellen hinter Ransom Cartel sind Akteure, die den Verkauf eines kompromittierten Netzwerkzugangs anbieten. Ihre Motivation ist nicht, selbst Cyberangriffe durchzuführen, sondern den Zugang an andere Bedrohungsakteure zu verkaufen. Aufgrund der Rentabilität von Ransomware haben diese Broker wahrscheinlich Arbeitsbeziehungen mit RaaS-Gruppen, basierend auf dem Betrag, den sie zu zahlen bereit sind. Unit 42 hat Beweise dafür gesehen, dass sich Ransom Cartel auf diese Art von Diensten verlassen hat, um den ersten Zugriff für die Bereitstellung von Ransomware zu erhalten.

Schlussfolgerung der Security-Experten

Ransom Cartel ist eine von vielen Ransomware-Familien, die im Jahr 2021 aufgetaucht sind. Während Ransom Cartel doppelte Erpressung und einige der gleichen TTPs verwendet, die man oft bei Ransomware-Angriffen beobachtet, verwendet diese Art von Ransomware weniger verbreitete Tools – zum Beispiel DonPAPI – die man bei anderen Ransomware-Angriffen zuvor nicht beobachtet hat.

Die Betreiber von Ransom Cartel hatten eindeutig Zugriff auf den ursprünglichen Quellcode der REvil-Ransomware. Allerdings scheinen sie nicht über die Verschleierungs-Engine zu verfügen, die Zeichenfolgen und API-Aufrufe verschlüsselt oder versteckt. Daher spekulieren die Security-Experten, dass die Betreiber von Ransom Cartel eine Beziehung zu REvil-Gruppe hatten, bevor sie ihre eigene Operation starteten.

Weitere Auswertungen der Gruppe und technische Informationen finden sich bei Unit42 online.

Mehr bei PaloAltoNetworks.com

 


Über Palo Alto Networks

Palo Alto Networks, der weltweit führende Anbieter von Cybersicherheitslösungen, gestaltet die cloudbasierte Zukunft mit Technologien, die die Arbeitsweise von Menschen und Unternehmen verändern. Unsere Mission ist es, der bevorzugte Cybersicherheitspartner zu sein und unsere digitale Lebensweise zu schützen. Wir helfen Ihnen, die größten Sicherheitsherausforderungen der Welt mit kontinuierlichen Innovationen anzugehen, die die neuesten Durchbrüche in den Bereichen künstliche Intelligenz, Analytik, Automatisierung und Orchestrierung nutzen. Durch die Bereitstellung einer integrierten Plattform und die Stärkung eines wachsenden Ökosystems von Partnern sind wir führend beim Schutz von Zehntausenden von Unternehmen über Clouds, Netzwerke und mobile Geräte hinweg. Unsere Vision ist eine Welt, in der jeder Tag sicherer ist als der vorherige.


 

Passende Artikel zum Thema

Schutzlösungen für MacOS Sonoma im Test

Der große Test von Schutz-Software für Unternehmen und Einzelplatz-PCs für MacOS fand im AV-TEST-Labor erstmals unter der MacOS Version Sonoma ➡ Weiterlesen

BSI: Neue Studie zu Hardware-Trojaner 

Das BSI hat eine Studie veröffentlicht zu Manipulationsmöglichkeiten von Hardware in verteilten Fertigungsprozessen. Dabei geht es um versteckte Chips auf ➡ Weiterlesen

Intel schließt kritische und hochgefährliche Sicherheitslücken

Fast etwas unauffällig hat Intel viele Sicherheitslücken in seinen Produkten geschlossen. Mit dabei sind eine kritische Lücke mit dem CVSS-Wert ➡ Weiterlesen

BSI und Zero Day Initiative warnt vor kritischer Azure Schwachstelle  

Die Zero Day Initiative (ZDI) sammelt und verifiziert gemeldete Schwachstellen. Nun gibt es wohl eine kritische Schwachstelle in Azure mit dem ➡ Weiterlesen

Hoffnung für Unternehmen: FBI hat 7.000 LockBit Ransomware-Keys

Bereits im Februar und im Mai startete FBI, Europol und viele andere Behörden die Operationen gegen die Ransomware-Erpresser LockBit. Dabei ➡ Weiterlesen

Google-Leak: Datenbank belegt Datenpannen

Einem Journalist wurde eine Google-Datenbank zugespielt die tausende interne Datenpannen von 2013 bis 2018 enthalten und intern bei Google gelöst ➡ Weiterlesen

Keylogger stiehlt bei Exchange Servern Login-Daten

Das Incident Response Team des PT ESC hat einen neuartigen Keylogger in der Hauptseite eines Microsoft Exchange Servers entdeckt. Jeder ➡ Weiterlesen

Ransomware: 97 Prozent der Betroffen sucht Rat bei Behörden

Enorm viele Unternehmen wenden sich bei einer Cyberattacke an behördliche Einrichtungen. Der aktuelle Sophos State of Ransomware Report bestätig, dass ➡ Weiterlesen