Interview mit Catalin Cosoi, Bitdefender
Blick hinter die Ransomware-Kulissen
Fortsetzung des Artikels von Teil 1
Ausgefeilte Arbeitsteilung
LANline: Die Arbeitsteilung der Kriminellen wird laut Fachleuten immer ausgeklügelter, die Professionalität in der Szene steigt, und Opfer erhalten zum Beispiel„Kunden-Service“-Nummern wie bei einem Helpdesk. Wie weit ist diese Professionalisierung inzwischen gediehen?
Catalin Cosoi: Die heutigen RaaS-Anbieter nehmen ihre Professionalität und ihre Sicherheitsmaßnahmen sehr ernst. Früher gab es Ransomware-Familien wie GrandCrab – inzwischen tot –, die bereit waren, mit jedem Partner zusammenzuarbeiten. Aber andere Gruppen wie REvil haben ein Überprüfungssystem, sie sind sehr wählerisch, was ihre Partner angeht, und führen komplizierte Interviews durch. Neue Affiliates müssen sich also als würdig erweisen und zeigen, dass sie wissen, wie man einen Exploit schreibt, oder dass sie in der Vergangenheit Netzwerke kompromittiert haben. Es gab auch Affiliates, die eine Zeit lang mit beiden Gruppen zusammengearbeitet haben. Jeder Partner ist für die Abrechnung seines eigenen Geldes verantwortlich und verwendet seine eigenen Mixer für Kryptowährungstransaktionen. Außerdem haben sie ihre eigenen Verhandlungsführer, da es Unternehmen gibt, die sich auf die Notfall-Reaktion auf Ransomware-Angriffe einschließlich Lösegeldverhandlungen spezialisiert haben. Hier könnten die Affiliates sagen: „Sie sind also hier, um zu verhandeln. Mit welchem Verhandlungsunternehmen arbeiten Sie zusammen?“ Sie kennen diese Unternehmen und wissen, welche Strategien sie verfolgen. Möglicherweise arbeiten sie sogar mit Unternehmen zusammen, die Festplatten wiederherstellen. Es gibt einige Datenwiederherstellungsanbieter, die verlorene Daten für einen hohen Betrag, der jedoch unter dem Lösegeld liegt, wiederherstellen können. Diese Unternehmen arbeiten möglicherweise insgeheim mit den Affiliates zusammen. Dann glauben Sie also, dass Sie die Guten bezahlen, aber in Wirklichkeit bezahlen Sie wieder die Bösen.
LANline: Wie hoch ist denn der Prozentsatz der Opfer, die verhandeln und ein Lösegeld zahlen?
Catalin Cosoi: In Wirklichkeit versucht jeder, zu verhandeln. Sie (die angegriffenen Unternehmen, d.Red.) wollen den Zahlungsbetrag senken oder den Zeitrahmen verlängern, bevor sich die Lösegeldzahlung verdoppelt. Bei den Verhandlungen kann es um die Entschlüsselung gehen, aber auch darum, interne Daten nicht zu veröffentlichen, damit die Öffentlichkeit nicht erfährt, dass die Daten eines Unternehmens kompromittiert wurden. Wir haben letztes Jahr eine Umfrage durchgeführt, und fünf von zehn befragten Unternehmen gaben an, dass sie das Lösegeld zahlen würden. In der Praxis haben wir bei unserer Arbeit mit Unternehmen in solchen Situationen festgestellt, dass siebzig Prozent der Unternehmen tatsächlich zahlen.
LANline: Man hört auch von Unternehmen, die bereits wiederholt infiziert wurden. Wie häufig kommt das vor?
Catalin Cosoi: Dass Unternehmen zweimal mit Ransomware infiziert werden, ist durchaus üblich. Wir haben sogar Fälle erlebt, in denen ein Unternehmen mit zwei Ransomware-Familien gleichzeitig infiziert war: Die Daten waren doppelt verschlüsselt.
LANline: Welche Ransomware-Gruppen stufen Sie heutzutage als die gefährlichsten ein?
Catalin Cosoi: Die fünf gefährlichsten Ransomware-Familien, gemessen an der Zahl der weltweiten Vorfälle, sind Conti, LockBit, Pysa, Spook und Haron. Ich gehe davon aus, dass wir in Zukunft noch mehr Angriffe von diesen Gruppen sehen werden.
LANline: Was sind die offenen Türen, die Sie bei den Unternehmen immer wieder antreffen, und von denen Sie sagen, dass die Unternehmen sie am dringendsten schließen müssten?
Catalin Cosoi: Ein beliebter Angriffsvektor ist RDP, das Remote Desktop Protocol, insbesondere in Verbindung mit schwachen Passwörtern. Im Dark Web gibt es aber auch riesige Datenbanken mit gestohlenen Anmeldedaten. Ein weiterer gängiger Angriffsweg besteht darin, dass sich ein Insider Zugang verschafft und diesen dann an Affiliates verkauft. Und natürlich gibt es nach wie vor den üblichen Angriffsvektor per Phishing, Spam, Exploits usw.
LANline: Herr Cosoi, vielen Dank für das Gespräch.
- Blick hinter die Ransomware-Kulissen
- Ausgefeilte Arbeitsteilung
Lesen Sie mehr zum Thema
