Ein Leitfaden zu Ransomware

Ein Ransomware-Angriff beginnt, wenn bösartige Software auf ein Gerät heruntergeladen wird. Beispiele für Gerätetypen sind Laptops, Smartphones oder Desktop-Computer. Die Schadsoftware wird normalerweise aufgrund von Benutzerfehlern oder unzureichenden Sicherheitsprotokollen heruntergeladen.

In den letzten Jahren haben sich Phishing-Angriffe zu einer beliebten Methode für die Verbreitung von Ransomware entwickelt. Bei einem Phishing-Angriff hängt ein Cyberkrimineller ein infiziertes Dokument oder eine URL an eine E-Mail an, die er als legitime E-Mail tarnt, in der Hoffnung, den Empfänger zum Öffnen der E-Mail zu verleiten. Sobald sie geöffnet wird, wird die Ransomware auf dem Gerät installiert.

Das "trojanische Pferd" ist eine weitere beliebte Angriffsart, bei der Ransomware als legitime Software getarnt wird und dann Geräte infiziert, nachdem Benutzer diese Software installiert haben.

Sobald Ransomware ein System infiziert hat, übernimmt sie die kritischen Prozesse des Geräts; sie sucht nach Dateien, die sie verschlüsseln kann; der Virus verschlüsselt alle Daten auf dem Gerät oder löscht die Dateien, die er nicht verschlüsseln kann. Er infiziert auch alle externen Geräte, die an den Host-Computer angeschlossen sind. Der Virus sendet auch Signale an andere Geräte im infizierten Netzwerk, um diese ebenfalls zu infizieren.

Es gibt viele verschiedene Varianten von Ransomware, und es werden ständig neue erstellt. Im Folgenden sind die häufigsten und bekanntesten Ransomware-Typen aufgeführt: 

Phishing

Das häufigste Übermittlungssystem für Ransomware ist Phishing-Spam - Anhänge, die in der E-Mail eines Opfers ankommen und sich als vertrauenswürdige Datei tarnen. Laut einer Studie des Sicherheitsunternehmens Trend Micro beginnen 91 % der Cyberangriffe und der daraus resultierenden Datenverletzungen mit einer Spear-Phishing-E-Mail.

Sobald der Anhang heruntergeladen und geöffnet wurde, kann die Malware den Computer des Opfers übernehmen und einige der Dateien des Benutzers verschlüsseln. In diesem Fall können die Dateien nur mit einem mathematischen Schlüssel entschlüsselt werden, den nur der Angreifer kennt.

Es sind auch Fälle bekannt, in denen Malware eine Meldung anzeigt, die behauptet, dass das "Windows" des Benutzers gesperrt ist. Der Benutzer wird dann aufgefordert, eine "Microsoft"-Telefonnummer anzurufen und einen sechsstelligen Code einzugeben, um das System wieder zu aktivieren. In der Meldung wird behauptet, dass der Anruf kostenlos ist, was jedoch nicht stimmt. Während des Telefonats mit dem gefälschten "Microsoft" fallen Gebühren für Ferngespräche an.

Doxware

Eine andere Malware wird Leakware oder Doxware genannt. Hier droht der Angreifer damit, sensible Daten auf der Festplatte des Opfers freizugeben, wenn kein Lösegeld gezahlt wird. Oftmals sind E-Mails und Word-Dokumente das Ziel, aber es gab auch Fälle von mobilen Varianten, bei denen private Nachrichten, Bilder und Kontaktlisten von den Telefonen der Benutzer freigegeben wurden.

Doxware gilt als effektivere Malware als Ransomware - wenn es darum geht, das Geld vom Opfer zu bekommen. Bei Ransomware können Sie separate Backups von Daten erstellen, auf die nicht mehr zugegriffen werden kann, aber bei Doxware kann ein Angreifer, sobald er über Informationen verfügt, die das Opfer nicht öffentlich machen möchte, nur noch wenig tun, außer zu zahlen.

Anatova

Eine Entdeckung für 2019 war die Ransomware Anatova. Diese neue, extrem fortschrittliche Art von Ransomware tarnt sich als das Symbol eines Spiels oder einer Anwendung, um den Benutzer zum Herunterladen zu verleiten. Diese extrem fortschrittliche Form von Malware passt sich schnell an und nutzt Ausweich- und Verbreitungsmethoden, um ihre Entdeckung zu verhindern. Aufgrund seines modularen Aufbaus kann er zusätzliche Funktionalitäten einbetten, die es ihm ermöglichen, Anti-Ransomware-Methoden zu umgehen. Glücklicherweise entdeckte das McAfee Advanced Threat Research-Team diese neue Ransomware-Familie Anfang 2019, bevor sie zu einer signifikanten Bedrohung wurde.

Dharma

Die Ransomware Dharma, eine Variante von CrySiS, gibt es seit 2018, aber die Cyberkriminellen veröffentlichen immer wieder neue Varianten, die nicht entschlüsselt werden können.

GandCrab

Bösartige Ransomware, die AES-Verschlüsselung verwendet und eine Datei namens "GandCrab.exe" auf dem System ablegt. GandCrab zielt auf Verbraucher und Unternehmen mit PCs unter Microsoft Windows ab. Am 31. Mai 2019 gaben die Cyberkriminellen, die hinter GandCrab stecken, bekannt, dass sie alle weiteren GandCrab-Ransomware-Angriffe stoppen und behaupten, sie hätten über 2 Milliarden US-Dollar an Lösegeldzahlungen geleistet und würden sich in den "wohlverdienten Ruhestand" begeben. 

Emotet

Emotet war ursprünglich eine Malware, die es auf Banken abgesehen hatte - sie schlich sich auf Ihren Computer und stahl sensible und private Informationen. Erstmals im Jahr 2014 aufgetaucht, hat Emotet eine Vielzahl von Versionen durchlaufen und sich zu einer Ransomware entwickelt, die sich sogar der Erkennung durch einige Anti-Malware-Produkte entziehen kann. Seit seiner Entstehung hat Emotet Bankanmeldungen, Finanzdaten und Bitcoin-Wallets von Einzelpersonen, Unternehmen und Regierungsstellen in ganz Europa und den USA gestohlen.

Die Hacker nutzen wurmähnliche Fähigkeiten, um sich auf andere Computer zu verbreiten, und schleusen Emotet in der Regel über Spam-E-Mails ein, die den Anschein erwecken, legitim zu sein, und das Opfer durch verlockende Formulierungen zum Klicken auf den Link verleiten.

Laut dem US Department of Homeland Security ist Emotet eine der kostspieligsten und zerstörerischsten Malware. Die geschätzten Kosten für die Beseitigung eines durchschnittlichen Emotet-Angriffs belaufen sich auf über 1 Million US-Dollar.

Ryuk

Ryuk zielt speziell auf große Organisationen ab, um eine hohe finanzielle Rendite zu erzielen. Laut CrowdStrike erbeutete Ryuk zwischen August 2018 und Januar 2019 über 705,80 Bitcoins in 52 Transaktionen im Gesamtwert von 3.701.893,98 US-Dollar. Das Unternehmen erregte erstmals Aufsehen mit seinem Angriff auf den Betrieb von Tribune Publishing in der Weihnachtszeit 2018. Zunächst dachte das Unternehmen, dass es sich bei dem Angriff nur um einen Serverausfall handelte, aber es war bald klar, dass es sich um die Ransomware Ryuk handelte.

Ein anderer Begriff für Ransomware wie Ryuk, die auf große Unternehmen abzielt, um einen hohen ROI zu erzielen, ist "Big Game Hunting". Diese groß angelegten Angriffe beinhalten eine detaillierte Anpassung der Kampagnen an die einzelnen Ziele, um die Effektivität des Angriffs zu erhöhen. Die "Großwildjagd" erfordert daher viel mehr Arbeit vom Hacker; außerdem wird sie normalerweise in Phasen gestartet. Phase eins könnte zum Beispiel ein Phishing-Angriff sein, der sich darauf konzentriert, das Netzwerk eines Unternehmens mit Malware zu infizieren", um das System abzubilden und wichtige Assets zu identifizieren, die angegriffen werden sollen. Die Phasen zwei und drei bestehen dann aus einer Reihe von Erpressungs- und Lösegeldangriffen/-forderungen.

Soll ich das Lösegeld bezahlen?

Man könnte meinen, dass die Zahlung eines Lösegelds, um Zugang zu Ihren Daten zu erhalten, schon schlimm genug ist, aber das kann im Vergleich zu den tatsächlichen Schadenskosten, die mit einem Angriff verbunden sind, verblassen. Weitere Auswirkungen sind:

• Beschädigung und Zerstörung (oder Verlust) von Daten
• Verlorene Produktivität
• Unterbrechung des normalen Geschäftsablaufs nach einem Angriff
• Forensische Untersuchung
• Wiederherstellung und Löschung der gekaperten Daten und Systeme
• Reputationsschaden
• Mitarbeiterschulung als direkte Reaktion auf die Angriffe

Wenn man das alles berücksichtigt, ist es nicht verwunderlich, dass die Schäden durch Ransomware in diesem Jahr auf 11,5 Milliarden US-Dollar ansteigen werden, wobei alle 14 Sekunden ein Angriff prognostiziert wird - im letzten Jahr waren es noch alle 40 Sekunden.

Wenn Sie mit Experten für Cyberkriminalität sprechen, raten die meisten dringend davon ab, Lösegeld zu zahlen, da die Finanzierung von Ransomware-Angreifern nur dazu beiträgt, mehr Ransomware zu erstellen.

Viele Unternehmen widersetzen sich jedoch diesem Rat und wägen die Kosten für die verschlüsselten Daten gegen das geforderte Lösegeld ab. Letztes Jahr haben in den USA 45 % der Unternehmen, die von Ransomware betroffen waren, ihre Angreifer bezahlt. Aber warum?

Während die Verweigerung der Zahlung von Ransomware für die breitere Geschäftswelt empfohlen wird, ist die Verweigerung der Zahlung möglicherweise nicht die beste Vorgehensweise für das Unternehmen selbst. Wenn die Möglichkeit besteht, dass das Unternehmen dauerhaft den Zugriff auf wichtige Daten verliert, Geldstrafen von Aufsichtsbehörden auferlegt werden oder das Unternehmen ganz vom Markt verschwindet, können die Optionen des Unternehmens düster erscheinen. Die Wahl zwischen der Zahlung eines relativ bescheidenen Lösegelds und dem Verbleib im Geschäft oder der Verweigerung der Zahlung, um der breiteren Geschäftswelt zu helfen, ist für die meisten eine klare Sache.

In einigen Ransomware-Fällen wird das geforderte Lösegeld oft so hoch angesetzt, dass es sich für den Angreifer lohnt, aber niedrig genug, dass es oft billiger ist, als wenn ein Opfer für die Rekonstruktion seiner verlorenen Daten zahlt. Manchmal werden auch Rabatte angeboten, wenn das Opfer innerhalb eines bestimmten Zeitrahmens zahlt, z. B. 3 Tage.

Vor diesem Hintergrund legen einige Unternehmen Bitcoin-Reserven speziell für Lösegeldzahlungen an. Zum Beispiel in Großbritannien scheinen Organisationen eher Lösegeld zu zahlen. Laut Gotham Sharma, Geschäftsführer der Exeltek Consulting Group, "gibt etwa ein Drittel der mittelgroßen britischen Unternehmen an, Bitcoin vorrätig zu haben, um auf Ransomware-Notfälle zu reagieren, wenn andere Optionen nicht sofort ausgeschöpft werden können."

icon

Ransomware Datenrettung. Kostenlose Erstberatung.

Kontaktieren Sie unser Expertenteam. Ontrack rettet Ihre Daten, egal ob für Privatpersonen, Behörden oder Unternehmen.