Was ist Ransomware-as-a-Service (RaaS)?
Trend Micro: Ransomware-Risiken durch proaktives Angriffsflächen-Risikomanagement (ASM) verringern
Definition von Ransomware-as-a-Service (RaaS)
Ransomware as a Service (RaaS) ist ein Geschäftsmodell für Cyberkriminalität, das den Verkauf oder die Vermietung von Ransomware an Käufer umfasst, die als verbundene Unternehmen bezeichnet werden. RaaS kann als einer der Hauptgründe für die schnelle Verbreitung von Ransomware-Angriffen angerechnet werden, da es eine Vielzahl von Bedrohungsakteuren erleichtert hat – selbst diejenigen, die wenig technische Fähigkeiten und Wissen mit der Munition haben, Ransomware gegen ihre Ziele einzusetzen.
Wie funktioniert RaaS?
Ransomware-as-a-Service (RaaS) funktioniert wie das Software-as-a-Service (SaaS)-Modell, in dem Software auf Abonnementbasis online abgerufen werden kann. Das RaaS-Modell entwickelt sich jedoch auch auf eigene Weise weiter, und dieses voll funktionsfähige und unabhängige Ökosystem floriert im Untergrund. Einer der wichtigsten Akteure in diesem Geschäftsmodell sind Betreiber, die Ransomware entwickeln und verteilen. Sie arbeiten oft in strukturierten Gruppen und haben bestimmte Rollen wie Führungskräfte, Entwickler und Systemadministratoren. Erweiterte Gruppen können auch andere Rollen haben, wie z. B. Penetrationstester, Opferanalysten und Verhandlungsführer, um ihre Angriffe zu verfeinern.
Einige Aufgaben werden über Partnerprogramme ausgelagert oder erhalten, wie Access-as-a-Service (AaaS), das Einstiegspunkte in Zielorganisationen bietet. Erfahrene Penetrationstester können Ransomware-Tools nicht nutzen und stattdessen als Partner agieren, indem sie RaaS-Infrastruktur verwenden, um Angriffe auszuführen.
Eine RaaS-Kriminelle Gruppe entwickelt oder erwirbt zunächst Ransomware-Software und rekrutiert dann Partner über Foren, Telegram oder persönliche Netzwerke. Manchmal investiert sie bis zu 1 Million US-Dollar in die Rekrutierung. Nach dem Onboarding führen Partner Angriffe unabhängig durch.
RaaS kommt beiden Parteien zugute – Betreiber profitieren von Affiliate-Zahlungen, während Partner ohne Entwicklungskosten Zugang zu Ransomware erhalten. Umsatzmodelle variieren, einschließlich Abonnements, einmalige Gebühren, Gewinnbeteiligung oder Affiliate-Marketing. Dies ermöglicht es Betreibern, sich auf die Verbesserung von Ransomware zu konzentrieren, während Partner die Ausführung verwalten, wodurch RaaS zu einem hochspezialisierten und profitablen Cyberkriminalitätsmodell wird.
Dieses Modell wird auch von der Cyberkriminalitätsgemeinschaft übernommen, und das wichtigste Beispiel dafür ist „RaaS – Ransomware as a Service“. Ransomware-Angriffe wurden in der Vergangenheit hauptsächlich von den Ransomware-Entwicklern selbst durchgeführt. Im Gegensatz dazu führen die Ransomware-Entwickler bei RaaS die Angriffe nicht selbst aus, sondern sammeln sogenannte „Affiliates“, um die Angriffe durchzuführen und ihnen die Ransomware bereitzustellen. Wenn der Angriff durch das verbundene Unternehmen erfolgreich ist und das Lösegeld bezahlt wird, werden die Erlöse als Erfolgsgebühr zwischen dem Ransomware-Entwickler und dem verbundenen Unternehmen aufgeteilt.
Beispiele für RaaS
LockBit
LockBit ist die aktivste Ransomware-Gruppe weltweit. Von 2022-2023 waren rund 20-30 % aller Ransomware-Erkennungen verantwortlich. Bei einem vor Kurzem deutlichen Angriff stieg die Lösegeldnachfrage auf bis zu 50 Millionen US-Dollar.
LockBit 2.0 behauptet, neben anderen Ransomware eine der schnellsten Verschlüsselungstechniken zu haben. Sie zeigt auch Ähnlichkeiten mit bekannten Ransomware-Familien, Ryuk und Egregor.
Akira
Akira ist eine aufstrebende Ransomware-Gruppe, die im März 2023 erschien. Es wird angenommen, dass es sich um Conti (das jetzt inaktiv ist) handelt, das einst eine der beiden wichtigsten Ransomware-Gruppen zusammen mit LockBit war.
Laut einer Trend Micro-Umfrage hat Akira in den fünf Monaten seit dem 1. April 2023 107 Vorfälle verursacht, wobei 85,9 % dieser Vorfälle in Nordamerika aufgetreten sind.
BlackCat
Bis März 2022 hatte BlackCat mindestens 60 Organisationen erfolgreich gefährdet. Im Jahr 2023 umfassten die hochkarätigen Opfer von BlackCat Reddit und NextGen Healthcare. Die erste professionelle Ransomware-Familie, die in der Rust-Programmiersprache erstellt wurde, ist bekannt dafür, dass sie berüchtigt sicher und in der Lage ist, gleichzeitig zu verarbeiten.
Jetzt sind sie für ihre Dreifacherpressungstechnik bekannt. Ransomware-Akteure, die dreifache Erpressung einsetzen, drohen nicht nur exfiltrierte Daten, sondern auch verteilte Denial-of-Service (DDos)-Angriffe auf die Infrastruktur ihrer Opfer zu starten, um sie zu zwingen, das Lösegeld zu bezahlen.
Infektionskette von BlackCat Ransomware im Jahr 2022 beobachtet
Black Basta
Black Basta ist eine Ransomware-Gruppe, die erstmals im April 2022 identifiziert wurde und wie Akira vermutlich mit Conti in Verbindung steht. Zusätzlich zu RaaS entwickelt Black Basta aktiv die Arbeitsteilung bei Angriffen, wie z. B. das Einholen von Authentifizierungsinformationen für den Zugriff auf Unternehmensnetzwerke in unterirdischen Foren im Austausch für einen Teil der Gewinne aus Ransomware-Angriffen. Darüber hinaus hat Black Basta Builds für Linux entwickelt, und es ist zu erkennen, dass sie versuchen, den Umfang der Verschlüsselung zu erweitern.
Infektionskette von Black Basta
Wie zieht RaaS Partner an? - Eine Fallstudie zu LockBit
Warum konnte LockBit, die größte Ransomware-Gruppe, so viele Partner anziehen und ein großes RaaS aufbauen? Die Hauptgründe sind die hohe Gewinnbeteiligung und die Verwendbarkeit.
Hohe Gewinnbeteiligung
LockBit bot Partnern einen sehr attraktiven Umsatzanteil und gab 80 % des erworbenen Lösegelds zurück. Laut Aussage von EUROPOL entspricht der Gesamtbetrag des durch LockBit verursachten Schadens mehreren Milliarden Euro, so dass wir uns vorstellen können, dass auch die Erträge der an LockBit beteiligten Affiliates enorm waren. In der Vergangenheit gab es Fälle, in denen LockBit Lösegelder von bis zu 70 Millionen US-Dollar verlangt hat, und wenn sogar ein solcher Angriff erfolgreich ist, kann das verbundene Unternehmen Geld erhalten, das normale Menschen nicht erhalten können.
Gebrauchstauglichkeit
LockBit war bei verbundenen Unternehmen beliebt, da es mit Blick auf RaaS entwickelt wurde. So entwickelte und pflegte sie sogar eine „nutzerfreundliche Schnittstelle“, die es einfach machte, bei der Zusammenstellung des endgültigen Angriffsprogramms aus einer Vielzahl von Optionen auszuwählen, wodurch die technischen Hürden für RaaS-Benutzer verringert wurden, Straftaten zu begehen.
Ausgestattet mit diesen Elementen hat LockBit aktiv Partner rekrutiert und seinen Einfluss erweitert, aber es hat nun eine Herausforderung gemeistert, die einzigartig für RaaS ist. Beispielsweise haben wir bestätigt, dass die Infrastruktur von LockBit instabil ist und dass es nicht möglich ist, die Daten auf der Leckagestelle zu verwenden, und dass es in solchen Fällen für Partner schwierig wird, die für einen erfolgreichen Angriff erforderlichen Erpressungen durchzuführen. Darüber hinaus wurden im Februar 2024 einige Mitglieder von LockBit angehalten und ihre Server und andere Infrastrukturen wurden heruntergefahren, und Vorfälle wie diese können auch ein Faktor für das Ausscheiden von verbundenen Unternehmen sein. Mit anderen Worten, der Schlüssel zum Erfolg von RaaS ist es, das Vertrauen und die Zuversicht der Partner zu gewinnen, aber wenn etwas passiert, das dies beschädigt, ist RaaS nicht mehr tragbar.
LockBits Zeitachse bemerkenswerter Aktivitäten
So verteidigen Sie Systeme gegen Ransomware
Unternehmen können sich vor Ransomware-Angriffen schützen. Dies würde helfen, Ransomware-Verteidigungspläne zu erstellen. Diese können auf Sicherheits-Frameworks basieren, z. B. denen des Center of Internet Security (CIS) und des National Institute of Standards and Technology (NIST). Diese Richtlinien können bei der Priorisierung und Ressourcenverwaltung zur Prävention, Verteidigung und Wiederherstellung von Ransomware helfen.
Einige der Best Practices aus diesen Frameworks sind:
Auditereignisse und Bestandsaufnahme
- Verfügbare Assets und Daten
- Autorisierte und nicht autorisierte Geräte und Software
- Sicherheitsvorfälle und Vorfälle
Verwalten und verfolgen Sie Folgendes
- Hardware- und Softwarekonfigurationen
- Admin-Privilegien und Zugriff
- Aktivität in Netzwerkports, Protokollen und Diensten
- Netzwerkinfrastrukturgeräte wie Firewalls und Router und deren Sicherheitskonfigurationen
Patchen und aktualisieren Sie regelmäßig Folgendes für Software und Anwendungen
- Schwachstellenbewertungen
- Patching oder virtuelles Patching
- Version aktualisieren
Schützen Sie Systeme und stellen Sie Daten wieder her, indem Sie Folgendes implementieren
- Datenschutz-, Backup- und Wiederherstellungsmaßnahmen
- Multifaktor-Authentifizierung (MFA)
Schützen und verteidigen Sie Schichten
- Das Defense-in-Depth(DiD)-Prinzip. Dies geschieht durch die Schaffung mehrerer Abwehrebenen gegen potenzielle Bedrohungen. Ein Beispiel dafür ist die Blockierung nicht verwendeter Dienste nicht nur auf einer Firewall, sondern auch auf tatsächlichen Servern.
- Netzwerksegmentierung und das Least-Privileg-Prinzip. Es ist von größter Bedeutung, diese zu befolgen, wenn Systembenutzern, Diensten und Rollen Berechtigungen gewährt werden.
- Statische und dynamische E-Mail-Analyse. Beide dienen dazu, bösartige E-Mails zu untersuchen und zu blockieren.
- Die neueste Version von Sicherheitslösungen für alle Ebenen des Systems. Diese Ebenen umfassen E-Mail, Endpunkt, Web und Netzwerk.
- Überwachung auf frühe Anzeichen eines Angriffs. Die Identifizierung der fragwürdigen Präsenz verschiedener Tools im System kann Unternehmen viel Zeit und Aufwand sparen, um mögliche Angriffe abzuwehren.
- Fortschrittliche Erkennungstechnologien. Technologien, die mit KI und maschinellem Lernen betrieben werden, bieten einen verstärkten Schutz.
Trainieren und testen
- Bewertung und Schulung von Sicherheitskompetenzen
- Rote Teamübungen und Penetrationstests
Trend Micro Ransomware Schutz
Vergangenes Jahr waren 83 % der Organisationen von mehreren Sicherheitsverletzungen betroffen, die jeweils 4,4 Millionen US-Dollar kosteten. Gleichzeitig führte die Reduzierung der Risikoexposition zu durchschnittlichen Einsparungen von 1,3 Millionen US-Dollar.
Trend Vision One™ – Attack Surface Risk Management (ASRM) reduziert das Cyberrisiko drastisch: durch kontinuierliche Erkennung, Echtzeitbewertungen und automatische Schadensbegrenzung in Cloud-, Hybrid- oder On-Premises-Umgebungen.