In dieser Woche befasst sich das CTI-Team von Tanium mit einem neuen Angriff, bei dem das Phishing nach Anmeldedaten mit der Verbreitung von Malware kombiniert wird. Anschließend enthält der Beitrag aktuelle Informationen zu „Hunters International“, einem inzwischen eingestellten „Ransomware-as-a-Service“-Betrieb (RaaS) namens „ “ (wird in einem neuen Tab geöffnet) , der sich unter einem neuen Namen ausschließlich auf Datenerpressung konzentriert. Abschließend fasst das Team die neuesten Ransomware-Daten aus dem ersten Quartal des Jahres 2025 zusammen.
Neuer Angriff kombiniert Phishing nach Zugangsdaten mit Malware
Cofense hat kürzlich unter (wird in einem neuen Tab geöffnet) einen Angriff identifiziert, der das Phishing von Anmeldedaten mit der Verbreitung von Malware kombiniert.
Die E-Mail, die bei diesem Angriff zum Einsatz kommt, nutzt das Löschen von Dateien als Köder. Die Nachricht stammt von der Filesharing-Website „files[.]fm“ und einer legitimen E-Mail-Adresse. Klickt das Opfer auf den Link in der E-Mail, wird es auf eine legitime „files[.]fm“-URL weitergeleitet. Von hier aus hat das Opfer die Möglichkeit, eine PDF-Datei herunterzuladen.
Sollte das Opfer die Datei öffnen, löst es damit einen Phishing- und Malware-Angriff aus. Die Datei scheint harmlose Inhalte zu enthalten und fordert das Opfer auf, eine Vorschau einer anderen Datei anzuzeigen oder diese herunterzuladen. Ein Angriff wird unabhängig davon ausgeführt, ob der Benutzer sich dafür entscheidet, eine Vorschau des Elements anzuzeigen oder es herunterzuladen.
Wie funktioniert Phishing mit Anmeldedaten und Malware?
- Wenn das Opfer auf die Option „Vorschau“ klickt, wird es auf die herkömmliche, gefälschte Anmeldeseite von Microsoft 365 weitergeleitet. Diese Seite dient dazu, Zugangsdaten zu stehlen.
- Wählt das Opfer die Option „Herunterladen“ aus, wird eine ausführbare Datei auf das Gerät geladen. Cofense stellte fest, dass die heruntergeladene Datei so benannt ist, dass das Opfer fälschlicherweise annimmt, es handele sich um ein OneDrive-Installationsprogramm. Dieser Angriff führt zur Installation von ConnectWise RAT.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Diese Kampagne versucht, Aspekte auszunutzen, auf die viele Mitarbeiter aufgrund ihrer Schulung achten, da auch die Option zur Vorschau der Datei schädlich ist.
Der Bericht von Cofense beleuchtet eine Kombination verschiedener Techniken sowie die Gefahren von Online-Filesharing-Diensten und unterstreicht erneut, wie wichtig es ist, die Richtlinien Ihres Unternehmens zum Austausch von Dateien zu befolgen.
Hunters International verlagert seinen Schwerpunkt auf Datenerpressung
Die inzwischen aufgelöste „Ransomware-as-a-Service“-Gruppe „Hunters International“ richtet ihre Aktivitäten neu aus, um sich ausschließlich auf die Erpressung von Daten zu konzentrieren.
Forscher von Group-IB haben unter (wird in einem neuen Tab geöffnet) aufgedeckt, dass die Gruppe seit der Ankündigung ihrer Auflösung Ende letzten Jahres weiterhin aktiv ist und sich auf ihre neue, ausschließlich auf Erpressung ausgerichtete Operation namens „World Leaks“ konzentriert.
Wer ist Hunters International?
Die RaaS-Operation „Hunters International“ wurde erstmals im Rahmen der Operation „ Oktober 2023 “ aufgedeckt und führte in der Vergangenheit Doppel-Erpressungsangriffe durch.
Die Gruppe weist Überschneidungen mit der Ransomware-Gruppe „Hive“ auf, was einige Forscher zu der Annahme veranlasst, dass „Hunters International“ eine Umbenennung von „Hive“ ist, obwohl der Betreiber angibt, den Quellcode lediglich von „Hive“ erworben zu haben.
Hunters International hat mehrere Länder im Visier, doch in Nordamerika ist die Konzentration der Opfer am höchsten. Zu den wichtigsten Zielbranchen zählen die Immobilienbranche, das Gesundheitswesen und die freiberuflichen Dienstleistungen.
Die wichtige Rolle des Affiliate-Panels
Group-IB stellt fest, dass der Administrator sehr geschäftsorientiert ist, wie aus dem Partnerbereich der Operation hervorgeht. Die Partner von Hunters International können die Ransomware über eine Weboberfläche anpassen und bestimmte Teile davon mithilfe von Befehlszeilenparametern steuern.
Das Partner-Panel verfügt zudem über Rubriken, die auch bei einigen anderen Anbietern zu finden sind, wie beispielsweise die Rubriken „Nachrichten“, „Zahlungen“, „Unternehmen“ und „Offenlegung“. Wenn sich ein Partner im Panel anmeldet, kann er sein gewünschtes Ziel registrieren und die Höhe der Lösegeldzahlung festlegen.
Der Nachrichtenbereich des Panels verschaffte Group-IB zahlreiche Einblicke in die Vorgehensweise. Dieser Abschnitt enthielt Einzelheiten zu den angebotenen Dienstleistungen, Änderungen im Betrieb, Fehlerbehebungen und Ähnliches.
Nach der Registrierung des Ziels kann der Angreifer die eigentliche Ransomware herunterladen, mit der die von Group-IB bereitgestellten Dateien kompatibel sind. Die neueste Variante der Ransomware hinterlässt keine Lösegeldforderungen und fügt den Dateien keine Dateiendungen hinzu.
Der Partner erhält zudem Zugriff auf „Storage Software“, ein von Hunters International entwickeltes Tool für verschiedene Betriebssysteme und Architekturen. Es wurde entwickelt, um die Datenexfiltration zu automatisieren und es dem Akteur zu ermöglichen, Informationen auszutauschen und offenzulegen, ohne die Daten irgendwo hochladen zu müssen, da diese auf dem Server von Hunter International verbleiben.
Die Auflösung und Umfirmierung von Hunter International
In „ November 2024“ veröffentlichte die Gruppe im Nachrichtenbereich des Panels eine Mitteilung, in der sie einen Plan zur Einstellung des Projekts ankündigte, da dieses zu riskant und unrentabel geworden sei. Group-IB stellte fest, dass die Gruppe trotz dieser Mitteilung weiterhin aktiv ist, und fand heraus, dass sie zu Beginn des Jahres 2025 ein neues Projekt namens „World Leaks“ gestartet hat.
World Leaks führt keine Doppel-Erpressungsangriffe durch, sondern konzentriert sich ausschließlich auf reine Erpressungsangriffe. Laut Group-IB gibt die Organisation vor, ihren Partnern ein Exfiltrations-Tool zur Verfügung zu stellen, das völlig unauffindbar ist und dem Tool „Storage Software“ ähnelt.
Kurz nach der Ankündigung von „World Leaks“ setzten die Betreiber das Projekt vorübergehend aus, da sie Probleme mit der Infrastruktur feststellten. Aufgrund der Angaben des Affiliate-Panels geht Group-IB davon aus, dass World Leaks wieder aktiv sein wird, auch wenn auf der Website für Datenlecks bislang noch keine Informationen veröffentlicht wurden.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Hunters International ist nicht die erste Gruppe, die sich von der Verschlüsselung abgewandt hat, um sich ausschließlich auf Datenerpressung zu konzentrieren. Die Liste ist jedoch kurz. Es scheint nicht so, als reiche dies aus, um eine allgemeine Abkehr von der Verschlüsselung in Betracht zu ziehen, zumal die Verschlüsselung zusätzlichen Druck auf die Opfer ausübt und die Wahrscheinlichkeit erhöht, dass es letztendlich zu einer Zahlung kommt.
Es wird interessant sein zu beobachten, wie viele Gruppen diesem Beispiel folgen und von Ransomware auf reine Erpressung umsteigen und wie viele weiterhin in ihre Verschlüsselungsmethoden investieren und diese weiterentwickeln.
Group-IB hat zudem unter technische Details (wird in einem neuen Tab geöffnet) zur Ransomware „Hunters International“ veröffentlicht, aus denen hervorgeht, wie diese verschiedene Betriebssysteme angreift.
Ransomware stellt nach wie vor eine der größten Bedrohungen dar
Der aktuelle Bericht „ “ (wird in einem neuen Tab geöffnet) aus dem Jahr Rapid7’s untersucht die Ransomware-Daten für das erste Quartal des Jahres 2025 und unterstreicht, wie wichtig es für Unternehmen ist, sich weiterhin proaktiv vor Ransomware zu schützen.
Der Bericht behandelt mehrere bemerkenswerte Trends, darunter die Reinvestition von Lösegeld, neu verpackte Angebote, umstrukturierte Gruppen und vieles mehr.
Die wichtigsten Ergebnisse des Berichts zur Ransomware „Key Rapid7 “
Laut Rapid7 gab es im ersten Quartal 2025 80 aktive Ransomware-Gruppen, von denen 16 zu Jahresbeginn neu waren.
Die mit Abstand führende Gruppe war die Cl0p. Zu den am stärksten betroffenen Branchen des Quartals zählten das verarbeitende Gewerbe, Unternehmensdienstleistungen und das Gesundheitswesen, während die am stärksten betroffenen Länder die USA, Kanada und das Vereinigte Königreich waren.
Wiederanlage von Lösegeldzahlungen
Rapid7 sammelte Erkenntnisse zum Thema „ “ aus den im Februar veröffentlichten Chat-Protokollen von Black Basta (wird in einem neuen Tab geöffnet) und kam zu dem Schluss, dass Ransomware-Gruppen Lösegeldzahlungen wieder in den Kauf von Zero-Day-Schwachstellen investieren.
Als die Forscher die Chat-Protokolle durchgesehen hatten, stellten sie fest, dass der Gruppe im Jahr 2023 ein Zero-Day-Exploit für Ivanti Connect Secure zum Preis von 200 000 US-Dollar angeboten worden war. Zwar gibt es keine Bestätigung dafür, dass die Gruppe den Kauf tatsächlich getätigt hat, und es stimmt auch nicht mit den kurz darauf veröffentlichten CVEs zu „Ivanti Connect Secure“ überein, doch unterstreicht dies die Tatsache, dass die Akteure möglicherweise Zero-Day-Exploits für „ “ (öffnet in einem neuen Tab) mit den aus Lösegeldzahlungen erzielten Geldern erwerben.
Dies wurde zusätzlich bestätigt, als Rapid7 Beweise dafür fand, dass Black Basta einen Exploit für eine Juniper-Firewall erworben hatte.
Neuverpackung von Ransomware
Auch Ransomware-Gruppen nutzen ältere Varianten für neue Zwecke. Ein bemerkenswertes Beispiel im Jahr 2025 ist bislang die angebliche Wiederbelebung von Babuk (wird in einem neuen Tab geöffnet) durch die „“, bei der sich herausstellte, dass es sich lediglich um Code handelte, der von RansomHub, FunkSec und LockBit übernommen worden war.
Umstrukturierung von Ransomware-Gruppen
Wie wir jedes Quartal beobachten können, strukturieren sich Ransomware-Gruppen weiterhin um: Einige Gruppen lösen sich auf, neue Gruppen entstehen, und Mitglieder wechseln zwischen den Gruppen hin und her.
In diesem Zusammenhang unterziehen sich viele Ransomware-Gruppen zudem einem Rebranding-Prozess.
Ransomware-Gruppen, die man im Jahr 2025 im Auge behalten sollte
Rapid7 empfiehlt, die folgenden Gruppen auf der Grundlage seiner Daten aus dem ersten Quartal 2025 im Auge zu behalten:
- RansomHub
- Cl0p
- Anubis
- Luchs
- Qilin
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Rapid7 fasst die aktuelle Bedrohungslage durch Ransomware treffend zusammen und stellt fest: „Alles wie gewohnt, und das Geschäft boomt.“ Ransomware hält ein konstantes Tempo bei, da immer wieder neue Akteure auf den Plan treten. Alle Anzeichen deuten darauf hin, dass diese Bedrohung von Dauer sein wird.
Interessanterweise stellt Rapid7 fest, dass viele Gruppen eher die Einstellung „Was nicht kaputt ist, muss man nicht reparieren“ verfolgen, anstatt sich kontinuierlich anzupassen und neue Bedrohungen einzuführen. Der Bericht hebt zudem wichtige Maßnahmen hervor, die Organisationen ergreifen können, um ihre Sicherheit zu gewährleisten: (öffnet in einem neuen Tab) .
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum (wird in einem neuen Tab geöffnet),sowie , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von : (wird in einem neuen Tab geöffnet),und .
