Diese Woche befasst sich CTI mit den wichtigsten Akteuren und den neuen Taktiken von Ransomware-Tätern (wird in einem neuen Tab geöffnet) ab 2024. Als Nächstes befasst sich CTI mit einem neuen Bericht, der Einblicke in gestohlene Passwörter bietet. Abschließend untersucht CTI Berichte über zwei aktuelle Vorfälle, bei denen Angreifer Elemente von Office 365 nutzten, um sich Zugang zu den betroffenen Organisationen zu verschaffen, mit der Absicht, Ransomware zu installieren.
Trustwave stellt die wichtigsten Akteure und Taktiken im Bereich Ransomware vor
Der neueste Bericht von Trustwave mit dem Titel „ “ (wird in einem neuen Tab geöffnet) befasst sich mit einigen der wichtigsten Akteure und neuen Taktiken von Ransomware-Tätern aus 2024 Fällen.
Laut Trustwave standen finanzielle Motive im vergangenen Jahr weiterhin im Vordergrund der gesamten Ransomware-Landschaft. Trustwave beschreibt zudem die sich überschneidenden Taktiken, Techniken und Vorgehensweisen (TTPs) von Ransomware-Gruppen im Jahr 2024 und gibt Einblicke in das Ransomware-Ökosystem des Jahres 2025 .
Die 5 führenden Affiliate-Ransomware-Programme von 2024
Trustwave hat anhand der Aktivitäten auf Websites, auf denen Datenlecks veröffentlicht werden, die sogenannten „Big Five“ unter den 2024 Partnerprogrammen ermittelt:
- RansomHub (wird in einem neuen Tab geöffnet) hat sich im Jahr 2024 als bedeutender Ransomware-Partner etabliert. Dies ist in erster Linie auf das partnerfreundliche Geschäftsmodell der Gruppe zurückzuführen, das eine 90-10 -Prozent-Aufteilung der Zahlungen zugunsten der Partner vorsieht. Die Gruppe verzeichnete keine nennenswerten Unterbrechungen und zeichnete sich durch ihre maßgeschneiderte EDR-Killer-Malware aus. RansomHub dürfte auch in diesem Jahr eine der größten Bedrohungen bleiben.
- El Dorado (wird in einem neuen Tab geöffnet) trat erstmals unter dem Namen „ März 2024 “ in Erscheinung und benannte sich im Laufe des Jahres in „BlackLock“ um. Die Gruppe gewann dank ihrer plattformübergreifenden Funktionen rasch an Einfluss und stellt auch im Jahr 2025 weiterhin eine Bedrohung dar.
- Lynx tauchte im Jahr Juli 2024 auf und war eine weitere erfolgreiche Ransomware-Gruppe. Die genauen Einzelheiten und die Vorgehensweisen, die zum Einsatz der Ransomware führten, sind nach wie vor unklar; es ist jedoch bekannt, dass die Täter regelmäßig Schattenkopien von Sicherungen löschen.
- FOG tauchte erstmals im Mai auf, gab die Website, auf der die Daten veröffentlicht wurden, jedoch erst Mitte Juni bekannt. Mit FOG verbundene Akteure setzten maßgeschneiderte Skripte, Credential-Stuffing-Techniken und andere Methoden zur Aufrechterhaltung des Zugriffs ein.
- BASHE erschien zunächst unter dem Namen „ APT73 “, bevor es im Oktober umbenannt wurde. Die Gruppe gewann mit ihrem „Data Leak Site-as-a-Service“-Modell rasch an Bedeutung, wodurch sie sich von den traditionellen „Ransomware-as-a-Service“-Modellen (RaaS) von abhob: (öffnet in einem neuen Tab).
Sich überschneidende TTPs
Trustwave hat die beobachteten Vorgehensweisen von 2024 Ransomware-Akteuren erfasst, um deren Vorgehensweise besser zu verstehen. Sie haben eine Heatmap erstellt, die einige der am häufigsten beobachteten Techniken hervorhebt.
Die Grafik, die unter in ihrem Bericht „ “ (wird in einem neuen Tab geöffnet) zu finden ist, hebt einige der wichtigsten, sich überschneidenden Techniken hervor, wie beispielsweise die Ausnutzung öffentlich zugänglicher Anwendungen, geplante Aufgaben, Spear-Phishing, Malware und andere.
[Lesen Sie auch: Was ist Phishing? Arten, Risiken und Prävention] (wird in einem neuen Tab geöffnet)
Ausblick zur Ransomware „2025 “
Ransomware wird auch im Jahr 2025 eine bedeutende Rolle spielen, wenn man bedenkt, wie effektiv sie im Jahr 2024 war.
Das Ransomware-Ökosystem ist „zunehmend durch eine Dezentralisierung der Aktivitäten gekennzeichnet – ein Trend, der durch die Zerschlagung größerer Gruppen vorangetrieben wird.“ Laut Trustwave hat dies dazu beigetragen, die derzeitige Situation zu prägen, in der sich kleinere Gruppen bilden und relativ schnell erfolgreich werden können.
Das partnerfreundliche Modell von RansomHub wird es dem Unternehmen ermöglichen, auch im Jahr 2025 eine führende Rolle einzunehmen, sofern keine nennenswerten Störungen auftreten.
Trustwave rechnet mit einer anhaltenden Verbreitung von in Go entwickelter Ransomware sowie mit dezentralisierten Gruppen, kombinierten Erpressungstaktiken und dem Aufkommen neuer Partnerprogramme.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Ransomware-Betreiber können sich mittlerweile leichter an die Maßnahmen der Strafverfolgungsbehörden anpassen, wodurch sie widerstandsfähiger – und gefährlicher – werden.
Es ist davon auszugehen, dass weiterhin neue Ransomware-Gruppen entstehen werden, und bestehende Gruppen könnten sich im Jahr 2025 in verschiedene Ransomware-Marken aufspalten. Wie Trustwave jedoch betont, können diese Gruppen ebenso schnell wieder verschwinden, wie sie entstanden sind, sodass „ungewiss ist, welche sich zu langfristigen Bedrohungen entwickeln werden“.
Specops veröffentlicht Bericht über kompromittierte Passwörter
Specops hat kürzlich den Bericht „ “ (wird in einem neuen Tab geöffnet) veröffentlicht, in dem Erkenntnisse aus gestohlenen Passwörtern aus 2024 Fällen dargelegt werden.
Dem Bericht zufolge wurden innerhalb eines Zeitraums von zwölf Monaten mehr als 1 Milliarde Zugangsdaten durch Malware gestohlen, wobei 230 Millionen davon die Standardanforderungen an die Komplexität erfüllten.
Specops beschreibt einige der beobachteten Trends, darunter die am häufigsten gestohlenen Passwörter, die gängigsten Basisbegriffe, die gängigsten Passwortlängen sowie die am häufigsten verwendete Malware zum Diebstahl von Anmeldedaten.
Trends und Muster bei schwachen Passwörtern
Specops hat Statistiken aus anderen Quellen einbezogen, um einige der Ergebnisse hervorzuheben. So ergab beispielsweise eine Umfrage von LastPass zuvor, dass sich 91 % der Nutzer der Risiken bewusst sind, die mit der Wiederverwendung von Passwörtern für verschiedene Konten verbunden sind, dennoch tun dies 59 % trotzdem. Dies macht einige ihrer Erkenntnisse umso alarmierender.
Specops hat die 1 089 342 532 gestohlenen Passwörter, die sie erfasst hatten, analysiert. Als Erstes untersuchten sie die am häufigsten vorkommenden schwachen Passwörter und Standardbegriffe. Sie stellten fest, dass die fünf am häufigsten gestohlenen Passwörter folgende waren:
- 123456
- Admin
- 12345678
- Passwort
- Passwort
Das Passwort „ “123456” “ wies 3,7 Millionen exakte Übereinstimmungen auf. Die häufigsten Basisbegriffe waren „admin“, „guest“, „qwerty“, „welcome“ und „password“.
Laut Specops ist eine Länge von acht Zeichen am häufigsten anzutreffen; auf diese Länge entfallen 189 Millionen der analysierten gestohlenen Passwörter. Außerdem untersuchten sie Passwörter, die die Komplexitätsanforderungen erfüllten, d. h., sie mussten mindestens acht Zeichen, einen Großbuchstaben, eine Ziffer und ein Sonderzeichen enthalten. Insgesamt erfüllten 230 Millionen der gestohlenen Passwörter diese Anforderungen.
Wie Hacker Malware einsetzen, um Passwörter zu stehlen
Gestohlene Zugangsdaten sind offensichtlich sehr gefragt, wenn man bedenkt, wie viele allein im Jahr 2024 gestohlen wurden. Diese hohe Nachfrage steht in direktem Zusammenhang mit der zunehmenden Verbreitung von Infostealer-Malware, die darauf ausgelegt ist, Daten – einschließlich Zugangsdaten – zu sammeln.
Specops stellte fest, dass die Malware „ “ vom Typ „RedLine Infostealer“ (wird in einem neuen Tab geöffnet) sehr verbreitet ist und fast die Hälfte der von ihnen analysierten gestohlenen Passwörter ausmacht. Der „ “-Raccoon-Stealer (wird in einem neuen Tab geöffnet) sowie der Vidar-Stealer waren ebenfalls für 11,7 % bzw. 17 % der gestohlenen Passwörter verantwortlich.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die Grundaussage des Specops-Berichts ist nichts Neues: Angreifer haben es sowohl auf schwache als auch auf starke Passwörter abgesehen.
Der Bericht bietet einen detaillierten Überblick über die aktuelle Lage im Bereich des Diebstahls von Zugangsdaten und enthält zudem Trends und Empfehlungen, die Sicherheitsexperten dabei helfen können, zu verstehen, wie sie sich schützen können.
Es ist wichtig zu bedenken, dass es nicht ausreicht, lediglich die Anforderungen an die Passwortkomplexität zu erfüllen, da fast ein Viertel der gestohlenen Passwörter diese Anforderungen erfüllte.
Die Täter nutzen E-Mail-Bombing und Vishing über Teams
Sophos hat zwei Vorfälle gemeldet: (wird in einem neuen Tab geöffnet) , bei denen Angreifer Office 365 ausnutzten, um sich Zugang zu den betroffenen Unternehmen zu verschaffen, mit der Absicht, Ransomware zu installieren.
Die Vorfälle standen im Zusammenhang mit zwei verschiedenen Angreifern, von denen jeder eigene Microsoft Office 365 -Service-Tenants betrieb und verwaltete, um seine Angriffe voranzutreiben.
Zu den bei diesen Vorfällen angewandten Taktiken zählen unter anderem E-Mail-Bombing, das Versenden von Teams-Nachrichten, das Führen von Teams-Sprach- und Videoanrufen sowie die Nutzung von Microsoft-Fernsteuerungstools.
STAC5143 und STAC5777
Sophos verfolgt die beiden Angreifer unter den Bezeichnungen STAC5143 und STAC5777.
- STAC5143: Ein Teil der von dieser Bedrohungsgruppe eingesetzten Malware ähnelt derjenigen, die von einer als FIN7 bezeichneten Gruppe verwendet wird. Allerdings lassen sich die Gruppen anhand einzelner Elemente der Angriffskette voneinander unterscheiden. Sophos stellte im November Aktivitäten dieser Gruppe fest, als eine Organisation meldete, eine große Anzahl von Spam-Nachrichten erhalten zu haben, wobei innerhalb von 45 Minuten mehr als 3 000 Nachrichten eingingen. Kurz nach Erhalt der Nachrichten erhielten die Betroffenen einen Teams-Videoanruf von einem Konto mit dem Namen „Help Desk Manager“. Während des Telefonats wurde das Opfer angewiesen, eine Fernsteuerung des Bildschirms über Teams zuzulassen, wodurch der Angreifer Dateien ablegen und Python-Malware ausführen konnte. Es wurde beobachtet, dass „
STAC5143 “ die in Teams integrierte Fernsteuerungsfunktion, ein Java-Archiv zur Automatisierung der Ausnutzung sowie Python-basierte Hintertüren nutzte, die über einen externen SharePoint-Link heruntergeladen wurden. - STAC5777: Ähnlich wie der vorherige Bedrohungskomplex hat auch STAC5777 Organisationen mit E-Mail-Bombardements und einer Microsoft-Teams-Nachricht ins Visier genommen. In der Teams-Nachricht dieser Gruppe wird um ein Gespräch mit dem Opfer gebeten, um bei der Behebung des Problems zu helfen.
Es wurde beobachtet, dass STAC5777 Microsoft Quick Assist nutzte, um manuell Änderungen an der Tastaturkonfiguration vorzunehmen, Malware zu installieren, einen legitimen Microsoft-Updater zu verwenden sowie weitere Techniken und Tools einzusetzen, die zuvor mit einer als „ “ Storm-1811 bekannten Gruppe in Verbindung gebracht wurden. (wird in einem neuen Tab geöffnet)
In jedem einzelnen Fall veranlasste der Angreifer das Opfer, während des Teams-Anrufs „Microsoft Quick Assist“ von der offiziellen Microsoft-Website zu installieren. Dies wurde anschließend genutzt, um eine Fernsitzung herzustellen, wodurch der Angreifer die Kontrolle über das Gerät des Opfers erlangte. Sobald der Angreifer die Kontrolle erlangt hatte, lud er eine schädliche Nutzlast herunter, stellte eine dauerhafte Präsenz her und stellte eine Verbindung zum C2 -Server her.
Mithilfe der erlangten Zugangsdaten suchte der Angreifer nach Hosts unter , um eine laterale Bewegung zu ermöglichen: (wird in einem neuen Tab geöffnet). In einem Fall versuchte der Täter sogar, die Ransomware „ “ („Black Basta“) auszuführen: (wird in einem neuen Tab geöffnet) , wurde jedoch letztendlich daran gehindert.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Dieser Bericht verdeutlicht die wachsende Beliebtheit von Microsoft Teams als Social-Engineering-Tool (wird in einem neuen Tab geöffnet) für Angreifer.
In den vergangenen Monaten kam es zu zahlreichen Vorfällen, bei denen Angreifer sich als IT-Support ausgaben, um sich einen ersten Zugriff zu verschaffen. Wie Sophos betont, sollten Endnutzer darauf achten, wie sie normalerweise mit IT-Supportteams interagieren, und auf Unregelmäßigkeiten achten.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum (wird in einem neuen Tab geöffnet),sowie , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von : (wird in einem neuen Tab geöffnet),und .
