Wirtschaftserpressung

Da viele Branchen aus Effizienzgründen auf Zeitarbeiter umgestiegen sind, vermieten oder verkaufen Cyberkriminelle ihre Ransomware-Tools für einen Teil des Profits oftmals, anstatt die Angriffe selbst durchzuführen.

RaaS vereinfacht den Zugang und verschleiert die Identität der Angreifer durch Ransoming. Einige Programme verfügen über 50 „Tochterunternehmen“ (so werden die Nutzer ihres Diensts bezeichnet), die verschiedene Tools, Stärken und Ziele aufweisen. Vergleichbar damit, dass jede Person, die ein Auto hat, auch für einen Fahrdienst arbeiten kann, kann auch jede Person mit einem Laptop und einer Kreditkarte, die sich dazu bereit erklärt, im Dark Web nach Eindringungstesttools oder ungewöhnlicher Malware zu suchen, dieser Wirtschaft beitreten.

Die Industrialisierung von Cyberverbrechen hat spezialisierte Rollen wie Zugriffsbroker erschaffen, die Zugriff auf Netzwerke verkaufen. Eine einzige Kompromittierung erfordert oft mehrere Cyberkriminelle in verschiedenen Phasen der Intrusion.

RaaS-Kits sind im Dark Web leicht zu finden und werden gleichermaßen angepriesen wie Waren im Internet.

Ein RaaS-Kit beinhaltet möglicherweise Kundenservice, gebündelte Angebote, Kundenreferenzen, Foren und andere Funktionen. Cyberkriminelle können einen festen Preis für ein RaaS-Kit zahlen, während andere Gruppen RaaS im Rahmen des Tochtergesellschaftsmodells verkaufen, und einen Prozentsatz des Ertrags einnehmen.

Ransomware-Angriffe beinhalten Entscheidungen, die auf Netzwerkkonfigurationen beruhen, und variieren je nach Opfer, auch wenn die Ransomware-Nutzlast gleich ist. Ransomware kulminiert einen Angriff, der Datenexfiltration und andere Auswirkungen beinhalten kann. Aufgrund des in sich verknüpften Aufbaus der Cyberverbrechensökonomie, können scheinbar beziehungslose Intrusionen auf einander aufbauen. Infostealer-Malware, die Kennwörter und Cookies stiehlt, wird mit einem geringeren Schweregrad behandelt. Cyberkriminelle verkaufen diese Kennwörter jedoch, um andere Angriffe zu ermöglichen.

Diese Angriffe folgen einem Muster des erstmaligen Zugriffs durch Malware-Infektion oder des Ausnutzen einer Schwachstelle, was zu einem Diebstahl von Anmeldeinformationen führt, und damit zu mehr Privilegien und lateralen Möglichkeiten führt. Industrialisierung ermöglicht erfolgreiche und wirkungsvolle Ransomware-Angriffe, die von ungebildeten Angreifern ohne erweiterte Fähigkeiten ausgeführt werden. Seit Conti stillgelegt wurde, konnten wir Änderungen in der Ransomware-Landschaft feststellen. Einige Tochtergesellschaften, die Conti bereitgestellt haben, haben ihre Nutzdaten von anerkannten RaaS-Ökosystemen wie LockBit und Hive entfernt, während andere Tochtergesellschaften ihre Nutzlasten nun gleichzeitig von mehreren RaaS-Ökosystemen bereitstellen.

Neue RaaS wie QuantumLocker und Black Basta füllen das Vakuum, das nach dem Stilllegen von Conti übrig geblieben ist. Da sich der Großteil der Ransomware-Abdeckung auf Nutzdaten und nicht auch Akteure fokussiert, wird dieser Nutzdatenwechsel wahrscheinlich eine Verwirrung für Regierungen, Polizei, Medien, Sicherheitsexperten und Abwehrkräfte darstellen, die sich fragen werden, wer hinter diesen Angriffen steckt.

Die Berichterstellung von Ransomware scheint ein endloses Skalierungsproblem darzustellen, obwohl in Wirklichkeit eine begrenzte Anzahl an Akteuren dahintersteht, die diesen Ansatz von Techniken verwendet.