Berichten zufolge genügte den Hackern im September lediglich ein äußerst überzeugendes, zehnminütiges Telefonat, um in die Computersysteme mehrerer großer Casinos in Las Vegas einzudringen. Doch dies ist nur eine der Methoden, mit denen sie Schwachstellen in den Cybersicherheitsketten der Unternehmen ausnutzten, um verheerende Ransomware-Angriffe zu starten.
Die Betrüger verschafften sich zunächst Zugang zu MGM Resorts, Caesars Entertainment und anderen Casino-Netzwerken, indem sie einen der ältesten Tricks überhaupt anwandten: Sie gaben sich gegenüber den Mitarbeitern des IT-Helpdesks als Angestellte aus, die ihre Zugangsdaten verloren hatten und neue benötigten.
Die Geschichte sorgte wochenlang für Schlagzeilen, da sie sowohl so bedeutende Ziele auf dem Las Vegas Strip als auch enorme Dollarbeträge betraf. So berichtete beispielsweise das „Wall Street Journal“ , dass Caesars ein auf geschätzte 15 Millionen US-Dollar belaufendes Lösegeld gezahlt habe, um die Kontrolle über seine Systeme zurückzugewinnen. MGM lehnte unterdessen eine Auszahlung ab und nahm stattdessen Betriebsverluste in Höhe von mehr als 100 Millionen US-Dollar in Kauf, während einige Spielautomaten, Sportwetten-Kioske, digitale Hotelzimmerschlüssel, Online-Reservierungen und Kreditkartensysteme außer Betrieb waren.
Das ist zweifellos eine verführerische Angelegenheit. Doch fast völlig in der Berichterstattung über den Angriff untergegangen ist eine noch beunruhigendere Enthüllung: dass eine bedeutende „Ransomware-as-a-Service“ (RaaS)-Gruppe ihre Stellvertreter wahrscheinlich mit allen notwendigen Werkzeugen ausgestattet hat, um diese Angriffe durchzuführen.
Tatsächlich soll eine RaaS-Bande namens ALPHV, auch bekannt als BlackCat, Berichten zufolge eine Hackergruppe namens „Scattered Spider“ oder „ UNC3944“ dabei unterstützt haben, Geld von den Casinos zu erpressen, im Gegenzug für einen Anteil an der Beute. So funktioniert RaaS (ausgesprochen „rass“) in der Regel: Kriminelle nutzen ein „ “-Modell nach dem Prinzip „Everything-as-a-Service“ (XaaS) und bieten im Dark Web benutzerfreundliche Hacking-Tools und -Dienste gegen eine monatliche Pauschalgebühr oder einen Anteil an den erzielten Gewinnen an.
Solche Vorgehensweisen sind laut David Bradbury, CISO bei Okta, einem Unternehmen für Identitäts- und Zugriffsmanagement, typisch für diese Cyberkriminellen. „Betrachten Sie sie eher als Geschäftspartner oder verbundene Unternehmen“, erklärte Bradbury gegenüber Reuters.
Dieses Geschäftsmodell für die Ransomware „ “ ( ), das bereits seit mindestens 2016 im Einsatz ist, wurde von Cyberkriminellen übernommen, die ihre Geschäfte mit einer Präzision und maßgeschneiderten Dienstleistungen abwickeln (einige RaaS-Pakete umfassen Kundenservice, Bewertungen, Funktionsupdates und Rabatte), die einen Professor der Wharton School stolz machen würden. Das Ergebnis: RaaS ist mittlerweile außerordentlich profitabel geworden.
Das Leid verschlimmert – Was ist „Ransomware-as-a-Service“ und warum ist sie so wirksam?
Wie sich herausstellt, haben solche illegalen Vereinbarungen nicht nur stark zugenommen, sondern auch eine entscheidende Rolle bei einem Anstieg der weltweiten Ransomware-Angriffe um fast 40 % im vergangenen Jahr gespielt. Dies geht aus einem Bericht mit dem Titel „ “ ( ) von Zscaler hervor, einem Anbieter einer Zero-Trust--Plattform ( ).
„. Angehende Cyberkriminelle nutzen RaaS, um Angriffe durchzuführen, zu denen sie allein möglicherweise nicht in der Lage wären.“Deepen Desai, globaler CISO und Leiter der Sicherheitsforschung bei Zscaler
„Angehende Cyberkriminelle nutzen RaaS, um Angriffe durchzuführen, zu denen sie allein möglicherweise nicht in der Lage wären“, erklärte Deepen Desai, globaler CISO und Leiter der Sicherheitsforschung bei Zscaler. „Die überwiegende Mehrheit der Ransomware-Gruppen nutzt RaaS, was sich als wirksam erwiesen hat und zu einem jährlichen Anstieg der Angriffszahlen führt.“
BlackCat gilt als eine der größten und ruchlosesten RaaS-Banden, obwohl davon ausgegangen wird, dass es sich bei ihren Mitgliedern größtenteils um Angehörige der Generation Z im Teenageralter oder Anfang 20s handelt. Doch auch andere namhafte Spieler haben den Vereinen in den letzten Jahren Schaden zugefügt, darunter:
- BlackBasta, von dem angenommen wird, dass es hinter einem kostspieligen Ransomware-Angriff auf BankCard USA im vergangenen Juni stand
- Clop, die Ransomware-Bande, die kürzlich Schwachstellen in der MOVEit-Dateiübertragungssoftware von ausnutzte, um Angriffe zu starten, von denen mehr als 40 Millionen Menschen sowie mindestens 600 öffentliche und private Organisationen betroffen waren
- Karakurt, ein Ableger der berüchtigten Conti-Bande, die seit einem Jahr Gesundheitsorganisationen ins Visier nimmt und damit droht, vertrauliche Patientenakten zu veröffentlichen
- Die „LockBit“- hat nach Angaben der US-Regierung seit 2020 rund 91 Millionen US-Dollar von US-Unternehmen erpresst. Derzeit fordert die Gruppe Lösegeld von CDW, einem der weltweit größten Wiederverkäufer.
RaaS-Banden gibt es schon so lange, dass viele der berüchtigtsten Namen bereits aus dem Verkehr gezogen wurden. Im Januar beispielsweise wurde die „Hive RaaS“-Gruppe, die zwischen den Jahren 2021 und 2023 angeblich mehr als 100 Millionen US-Dollar von 1 500 Opfern in 80 Ländern erbeutet hatte, von FBI-Agenten infiltriert und zerschlagen. Und im vergangenen Jahr wurden Mitglieder von REvil, jener aktiv agierenden Bande, die nach Angaben von US-Behörden den Angriff auf die Colonial Pipeline verübt hatte, der an der Ostküste zu Panikkäufen von Benzin führte, in Russland festgenommen.
Doch trotz solcher Maßnahmen nehmen kriminelle Aktivitäten im Zusammenhang mit RaaS weiter zu und drohen, die IT-Systeme von Organisationen unter anderem in den folgenden Branchen zu beeinträchtigen: Bildung, Bauwesen , öffentliche Verwaltung , Gesundheitswesen, Medien, Einzelhandel , Energiewirtschaft , Verkehrswesen sowie Finanzdienstleistungen. Branchenexperten betonen daher, dass es wichtig ist, wachsam zu bleiben, Vorsichtsmaßnahmen zu treffen und sich anzupassen, da dieses Problem in absehbarer Zeit nicht verschwinden wird.
„Ich denke, für mich ist dies ein weiterer der größten Angriffe, die von böswilligen Akteuren ausgehen“, sagte Kathryn Goldman, Geschäftsführerin von Cybermaniacs, einem Beratungsunternehmen für Schulungen zur Sensibilisierung für Cybersicherheit. „Ob es Bestand hat oder sich wandelt, weiß ich nicht. „Aber die Lage scheint sich tatsächlich zu verschlechtern, und wir müssen darauf reagieren.“
Vorbereitung auf das Unvermeidliche – um „Ransomware-as-a-Service“ zu bekämpfen, schulen (und weiterbilden) Sie Ihre Mitarbeiter
Goldman schlägt vor, mit kulturellen Veränderungen zu beginnen, die darauf abzielen, die Mitarbeiter für das Problem zu sensibilisieren, um nicht das gleiche Schicksal wie jene Hotel-Casinos in Las Vegas zu erleiden. Erst gestern veröffentlichte Microsoft einen Bericht der „ “ zur Bedrohungslage ( ) über eine Gruppe von Cyberkriminellen, deren Mitglieder englische Muttersprachler sind und die es auf Helpdesk-Mitarbeiter und technische Administratoren abgesehen haben. Dabei ahmen sie neue Mitarbeiter mit bemerkenswerter Genauigkeit hinsichtlich Dialekt und Sprachmanierismen nach und bringen Sicherheitsmitarbeiter dazu, Passwörter zurückzusetzen und die Methoden der Multi-Faktor-Authentifizierung (MFA) zu deaktivieren.
Die Mitarbeiter müssen sich nicht jede RaaS-Bande auf der Welt merken oder gar kennen, zumal sich die Akteure ständig ändern. Eine wirksamere Vorgehensweise, so Goldman, bestehe darin, die Betroffenen darüber aufzuklären, wie Angreifer heutzutage ihre Psychologie oder Emotionen ausnutzen, um sie zu bestimmten Handlungen zu verleiten, wie beispielsweise das Anklicken eines Links oder die Preisgabe von Informationen am Telefon. Mithilfe solcher Social-Engineering-Techniken können RaaS-Angreifer in ein Netzwerk eindringen, dessen Ressourcen an sich reißen oder es gegen Lösegeld sperren.
„. Ihr Ziel ist es, alle Ihre Mitarbeiter dazu zu befähigen, zu reaktionsfähigen Sicherheitsbeauftragten für Ihr Unternehmen zu werden.“Kathryn Goldman, Geschäftsführerin, Cybermaniacs
„Ihr Ziel ist es, alle Ihre Mitarbeiter dazu zu befähigen, zu reaktionsfähigen Verteidigungsagenten für Ihr Unternehmen zu werden“, sagt Goldman. „Bei RaaS kommt es weniger darauf an, sich auf die technischen Aspekte des Risikos zu konzentrieren, als vielmehr darauf, Ihre Einstellung hinsichtlich der Bereitschaft zur Reaktion zu ändern, da Ransomware-Angriffe so schnell erfolgen.“
Dies bedeutet, sich Zeit zu nehmen, um Mitarbeiter darin zu schulen, wie sie Phishing-E-Mails oder Vishing-Anrufe erkennen und melden können, sowie regelmäßige Bewertungen der Sicherheitskompetenzen zu entwickeln und durchzuführen.
Das Schlüsselwort hierbei ist „regelmäßig“ – Schulungen und Tests sind keine einmaligen Aufgaben, sondern unternehmensweite (d. h. von der Poststelle bis zur Vorstandsetage) Maßnahmen, die jährlich oder halbjährlich wiederholt werden.
Digitale Verteidigung – Tipps zur Verringerung Ihres Risikos durch „Ransomware-as-a-Service“
Neben einem kulturellen Wandel und Schulungsmaßnahmen sollten Unternehmen, die RaaS-gestützte Cyberangriffe verhindern wollen, laut Desai rollenbasierte Zugriffskontrollen (RBACs) sorgfältig verwalten. Dabei handelt es sich um digitale Schutzmechanismen, die je nach Aufgabenbereich festlegen, auf welche Ressourcen Mitarbeiter in einem Netzwerk zugreifen dürfen und auf welche nicht. Gleichzeitig weist er darauf hin, dass Unternehmen die Sicherheit der Transportschicht (TLS) kontinuierlich überprüfen sollten, da diese die von uns gesendeten Daten verschlüsselt, um sie vor neugierigen Blicken zu schützen.
Er fügt hinzu, dass es wichtig sei, auch der Umsetzung der „User-to-Application“-Segmentierung Priorität einzuräumen, bei der der Zugriff zwischen einzelnen Benutzern und bestimmten Anwendungen geregelt wird, um die Sicherheit zu erhöhen und Angriffsflächen zu verringern.
„Dies bietet eine wirksame Möglichkeit, die Ausbreitung lateraler Bedrohungen daran zu hindern, Ihre wichtigsten Anwendungen zu erreichen, und den Schadensumfang einzudämmen.“
[Lesen Sie auch: 5 Schritte zum Schutz der „Kronjuwelen“ Ihres Unternehmens – Ihrer Daten]
Desai rät außerdem, sicherzustellen, dass Ihre Cybersicherheitsteams den gesamten verschlüsselten Datenverkehr überprüfen können. Mehr als 85 % der Angriffe erfolgen über verschlüsselte Kanäle, die häufig nicht überprüft werden, sagt er. Dadurch ist es selbst für Angreifer mit mäßigem Fachwissen ein Leichtes, Sicherheitsmaßnahmen zu umgehen und Daten zu stehlen.
Als Nächstes ist es unerlässlich, eine einheitliche Sicherheitsrichtlinie aufrechtzuerhalten und durchzusetzen, die für die Nutzer gilt, ganz gleich, wo sie sich befinden, so Desai. Dazu gehören unter anderem die Inline-Bedrohungsprüfung (Echtzeitüberprüfung des Netzwerkverkehrs auf schädliche Inhalte oder Sicherheitsrisiken, während dieser ein Sicherheitsgerät oder ein Gateway durchläuft), Sandboxing (bei dem nicht vertrauenswürdige oder potenziell bedrohliche Programme in digitalen Blasen isoliert werden) sowie starke FIDO-basierte MFA und regelmäßige Sicherheitsupdates.
Angesichts der zunehmenden Verbreitung von Telearbeit sind diese Sicherheitsmaßnahmen von entscheidender Bedeutung für die Unterstützung einer dezentralen Belegschaft, die häufig auf wichtige Dateien und Anwendungen in der Cloud zugreift.
Schließlich, so Goldman, sei es zudem sinnvoll, über ein Auditsystem zu verfügen, um die Bereiche einer Organisation zu ermitteln, die am anfälligsten für Cyberangriffe sind, und abzuschätzen, wie sich Sicherheitsverletzungen in diesen Abteilungen auf die gesamte Organisation auswirken könnten.
„Eine Möglichkeit für CISOs, sich einen Überblick über die verschiedenen Szenarien zu verschaffen, besteht darin, deren potenzielle Auswirkungen zu bewerten, damit sie im Voraus wissen, wie groß das Risiko sein könnte, und es in die richtige Perspektive einordnen können“, sagt sie. „Bei der Reaktion auf Angriffe muss man gezielt und maßgeschneidert vorgehen, und das ist nur mit Daten möglich.“
