Ransomware-as-a-Service: Das neue Gesicht des industrialisierten Cyberverbrechens

Das RaaS-Modell hat eine rasche Perfektionierung und Industrialisierung dessen ermöglicht, was weniger fähige Kriminelle erreichen können. In der Vergangenheit haben diese weniger raffinierten Kriminellen vielleicht mit Hilfe von selbst erstellter oder gekaufter Standard-Malware Angriffe von begrenztem Umfang durchgeführt. Jetzt können sie von ihren RaaS-Betreibern alles bekommen, was sie brauchen – vom Zugang zu Netzwerken bis hin zu Ransomware-Payloads (natürlich gegen Bezahlung). Viele RaaS-Angebote umfassen auch eine Reihe zusätzlicher Dienstleistungen zur Unterstützung von Erpressungen, darunter das Hosting von Leak-Sites und die Integration von Lösegeldforderungen sowie Entschlüsselungsverhandlungen, Zahlungsaufforderungen und Transaktionsdienste für Kryptowährungen.

Dies bedeutet, dass die Auswirkungen eines erfolgreichen Ransomware- und Erpressungsangriffs unabhängig von den Fähigkeiten des Angreifers die gleichen sind.

Eine Art, wie RaaS-Anbieter ihren Partnern einen Mehrwert bieten, ist die Bereitstellung von Zugang zu kompromittierten Netzwerken. Access Broker durchsuchen das Internet nach anfälligen Systemen, die sie für spätere Gewinnzwecke kompromittieren können.

Für eine erfolgreiche Aktion benötigen die Angreifer Zugangsdaten. Kompromittierte Zugangsdaten sind für diese Angriffe so wichtig, dass beim Verkauf von Netzwerkzugängen durch Cyberkriminelle in vielen Fällen ein garantiertes Administratorkonto im Kaufpreis inbegriffen ist.

Was die Kriminellen mit dem einmal erlangten Zugang machen, kann je nach Gruppe und deren Auslastung bzw. Beweggründen sehr unterschiedlich sein. So können zwischen dem erstmaligen Zugang und dem eigentlichen Angriff zwischen Minuten und Tagen oder mehr vergehen. Wenn es die Umstände erlauben, kann dem Opfer aber auch sehr schnell Schaden zugefügt werden. In der Tat wurde beobachtet, dass die Zeit zwischen dem ersten Zugriff und der vollständigen Lösegeldzahlung (einschließlich der Übergabe von einem Access Broker an einen RaaS-Partner) weniger als eine Stunde betragen kann.

Haben sich Angreifer erst einmal Zugang zu einem Netzwerk verschafft, werden sie es auch nach Erhalt des Lösegelds nur ungern wieder verlassen. Tatsächlich verringern Lösegeldzahlungen unter Umständen nicht das Risiko für das betroffene Netzwerk und dienen möglicherweise nur der Finanzierung von Cyberkriminellen, die weiterhin versuchen werden, Angriffe mithilfe verschiedener Arten von Malware oder Ransomware-Payloads zu monetarisieren, bis es gelingt, sie loszuwerden.

Die Übergabe zwischen verschiedenen Angreifern im Zuge von Übergängen in der der cyberkriminellen Ökonomie bedeutet, dass mehrere Aktivitätsgruppen in einer Umgebung fortbestehen können und sich dazu anderer Methoden bedienen als bei einem Ransomware-Angriff. Ein Beispiel: Der erste Zugriff, der durch einen Banking-Trojaner erlangt wurde, führt zu einer Cobalt Strike-Bereitstellung, aber der RaaS-Partner, der den Zugriff erlangt hat, könnte sich dafür entscheiden, ein Fernzugriffstool wie TeamViewer zu verwenden, um seine Kampagne durchzuführen.

Die Verwendung legitimer Tools und Einstellungen für die Persistenz anstelle von Malware-Implantaten wie Cobalt Strike ist eine beliebte Methode von Ransomware-Angreifern, um länger unentdeckt und in einem Netzwerk zu bleiben.

Eine weitere beliebte Angreifertaktik ist die Erstellung neuer Backdoor-Benutzerkonten, entweder lokal oder im Active Directory, die dann zu Remotezugriffstools wie einem virtuellen privaten Netzwerk (VPN) oder einem Remotedesktop hinzugefügt werden können. Es wurde auch beobachtet, dass Ransomware-Angreifer Systemeinstellungen ändern, um Remotedesktop zu aktivieren, die Sicherheit des Protokolls zu verringern und neue Benutzer zur Gruppe der Remotedesktopbenutzer hinzuzufügen.

Eine der Besonderheiten von RaaS, die diese Bedrohung so schwerwiegend macht, ist die Tatsache, dass sie von menschlichen Angreifern ausgeht, die fundierte und durchdachte Entscheidungen treffen und Angriffsmuster auf der Grundlage dessen variieren können, was sie in den Netzwerken vorfinden, in denen sie sich befinden, um sicherzustellen, dass sie ihre Ziele erreichen.

Microsoft hat den Begriff "menschlich gesteuerte Ransomware" geprägt und diese Kategorie von Angriffen als eine Kette von Aktivitäten definiert, die in einer Ransomware-Payload gipfelt, und nicht als eine Reihe von Malware-Payloads, die es zu blockieren gilt.

Während die meisten Erstzugriffskampagnen auf automatisierter Aufklärung basieren, werden die Angreifer, sobald der Angriff in die praktische Phase übergeht, ihr Wissen und ihre Fähigkeiten nutzen, um zu versuchen, die Sicherheitsvorkehrungen in der Umgebung zu umgehen.

Ransomware-Angreifer sind auf schnelle Gewinne aus. Daher ist es wichtig, ihre Kosten durch verstärkte Sicherheitsmaßnahmen zu erhöhen und so ihr cyberkriminelles Geschäftsmodell zu durchkreuzen. Da die Entscheidungen bei diesen Angriffen von Menschen getroffen werden, bedeutet dies, dass selbst wenn Schutzprodukte bestimmte Angriffsphasen erkennen, die Angreifer selbst nicht vollständig abgewehrt werden; sie werden versuchen, weiterzumachen, wenn sie nicht durch eine Sicherheitskontrolle aufgehalten werden. Wird ein Tool oder eine Payload von einem Antivirenprodukt erkannt und blockiert, wechseln die Angreifer in vielen Fällen einfach zu einem anderen Tool oder ändern ihre Payload.

Die Angreifer kennen auch die Reaktionszeiten des Security Operations Centers (SOC) und die Möglichkeiten und Grenzen von Erkennungstools. Wenn der Angriff die Phase erreicht, in der Backups oder Schattenkopien gelöscht werden, sind es nur noch wenige Minuten bis zum Einsatz der Ransomware. Der Angreifer hat zu diesem Zeitpunkt wahrscheinlich bereits schädliche Aktionen wie Datenexfiltration durchgeführt. Dieses Wissen ist für SOCs entscheidend, um auf Ransomware reagieren zu können: Die Untersuchung von erkannten Elementen wie Cobalt Strike vor der Ransomware-Einsatzphase und die Durchführung von schnellen Abhilfemaßnahmen und Incident Response (IR)-Verfahren sind entscheidend für die Eindämmung eines menschlichen Angreifers.