Zum Hauptinhalt springen
Der Stand der Ransomware in 2022: Cyber Threat Intelligence Roundup
Ein aufkommendes Thema

Der Stand der Ransomware in 2022: Cyber Threat Intelligence Roundup

Eine Untersuchung der Ransomware-Daten aus dem ersten Halbjahr 2022, die neuesten Erkenntnisse zu Malware zum Diebstahl von Informationen, die von der russischen APT-Gruppe „Shuckworm“ eingesetzt wird, sowie ein Blick auf Aktivitäten aus dem Jahr UNC3890 , die gezielt gegen israelische Organisationen gerichtet waren

In dieser Woche untersuchen wir, ob der vielfach berichtete Rückgang der Anzahl von Ransomware-Angriffen im ersten Halbjahr 2022 tatsächlich zutrifft oder lediglich das Ergebnis verschiedener, zusammenwirkender Faktoren ist, die zu einem verzerrten – und irreführenden – Datensatz führen.

Im Folgenden geben wir einen Überblick über den jüngsten Bericht von Symantec zu den Aktivitäten der APT-Gruppe „Shuckworm“, einer Bedrohungsgruppe, die vermutlich mit dem berüchtigten russischen Föderalen Sicherheitsdienst (FSB) in Verbindung steht. Zudem befassen wir uns mit den Aktivitäten eines mutmaßlich mit dem Iran verbundenen Akteurs, der seine Angriffe bislang vor allem auf israelische Unternehmen aus den Bereichen Schifffahrt, Gesundheitswesen und Regierung gerichtet hat.

1. Ist der vielfach berichtete Rückgang der Ransomware-Zahlen eine Illusion?

Tim Starks von der „Washington Post“ stellte kürzlich eine interessante Frage: Spiegelt der von der „ “ prognostizierte Rückgang der Zahl der Ransomware-Angriffe (öffnet in einem neuen Tab) , der bislang in der ersten Hälfte des Jahres 2022 beobachtet wurde, die tatsächliche Situation wider? Oder sind die rückläufigen Zahlen das Ergebnis einer perfekten Sturmkonstellation aus verschiedenen Faktoren und Informationslücken?

Die kurze Antwort scheint zu lauten, dass es nicht so sehr darum geht, ob die Zahl der Ransomware-Angriffe zurückgegangen ist (die täglichen Untersuchungen des CTI scheinen das Gegenteil zu belegen), sondern vielmehr darum, ob die Quellen, die diese Zahlen melden, über weniger Informationen verfügen als je zuvor. Die ausführlichere Antwort scheint eine Kombination aus beidem zu sein.

Was trägt also dazu bei, dass die Zahl der Angriffe, die den für die Erfassung solcher Vorfälle zuständigen Stellen gemeldet werden, zurückgeht? Betrachten wir zunächst einmal die Zahlen, die von seriösen Quellen gemeldet werden, damit wir sicher sein können, dass es sich hierbei nicht lediglich um Spekulationen handelt.

Aus dem Artikel der „Washington Post“: „Eine der ersten Erhebungen, die auf einen Rückgang hindeuteten, kam im vergangenen Monat von der Ransomware Task Force, die sich aus Experten aus Regierung, Wirtschaft, Wissenschaft und gemeinnützigen Organisationen zusammensetzt.“ Darin wurden (wird in einem neuen Tab geöffnet)64 Angriffe auf Kommunalverwaltungen, Krankenhäuser und Schulen in 2022 bis zu diesem Zeitpunkt dokumentiert, verglichen mit 150 Vorfällen im gleichen Zeitraum des Vorjahres.“

In dem Artikel wird zudem erwähnt, dass im Juli, SonicWall (wird in einem neuen Tab geöffnet),, , , die NCC Group (wird in einem neuen Tab geöffnet),, sowie und GuidePoint Security (wird in einem neuen Tab geöffnet),, durchweg auf einen Rückgang hingewiesen haben. Die Unternehmen deckten jedoch unterschiedliche Zeiträume ab.

Natürlich sind nicht alle Forscher zu identischen Schlussfolgerungen gelangt – was in unserer Branche durchaus üblich ist. Schließlich haben Unternehmen Zugang zu verschiedenen Telemetriedaten und Quellen. Zudem legen Forscher unterschiedliche Definitionen dafür zugrunde, was einen echten Ransomware-Vorfall ausmacht.

Beispielsweise Avast gab erst letzte Woche unter (wird in einem neuen Tab geöffnet) an, dass die Zahl der Ransomware-Vorfälle von Q1 auf Q2 von 2022 gestiegen sei – obwohl Avast einräumen musste, dass seine Forscher ab Ende 2021 und Anfang 2022 einen Rückgang der Angriffszahlen beobachtet hatten. SecureWorks kam zu einem ähnlichen Ergebnis.

Wenn Ransomware also tatsächlich nach wie vor weit verbreitet ist, welche Faktoren haben dann zu diesem möglicherweise verzerrten Datensatz beigetragen?

Starks nennt die folgenden Entwicklungen als mögliche Umstände, die die Zahlen verzerren könnten:

  • Veränderung der TTPs von Angreifern: Viele Ransomware-Gruppen wenden mittlerweile ransomwarähnliche Taktiken an, jedoch ohne den Einsatz von Schadsoftware (Erpressung ohne Verschlüsselung), und konzentrieren sich nun auf Datendiebstahl sowie die Drohung, die Daten zu veröffentlichen, ohne dabei unbedingt die Unternehmenssysteme zu sperren.
  • Verlagerung der Angriffsziele: Um den Zorn von Politikern und Strafverfolgungsbehörden nicht auf sich zu ziehen, haben Ransomware-Banden begonnen, auch kleinere Organisationen ins Visier zu nehmen. Dies folgt auf eine Welle von vielbeachteten Ransomware-Angriffen auf namhafte Unternehmen wie JBS, Kaseya und Colonial Pipeline im vergangenen Jahr.
  • Kleinere Ziele = geringere Ressourcen: Kleinere Opfer melden ihre Ransomware-Vorfälle mit geringerer Wahrscheinlichkeit an eine der Stellen, die mit der Erfassung solcher Vorfälle beauftragt sind.

Don Smith, Vizepräsident für Informationsbeschaffung bei der Counter Threat Unit von SecureWorks, erklärte: „Diese [Verlagerung der Angriffsziele] führt dann zu einer Situation, in der mittelgroße bis große Unternehmen möglicherweise keine Verbindung zu einem nationalen CERT haben“, also zu einem staatlichen Computer-Notfallteam. „Möglicherweise sind Sie nicht bereit, für erstklassige Unternehmen im Bereich der Incident-Response zu zahlen, die Ihnen bei Ihrem Problem helfen sollen. „Und daher könnte es sein, dass viele Menschen aufgrund einer solchen Betrachtung aus der Vogelperspektive eine Verzerrung bei der Berichterstattung aufweisen, was diese Diskrepanz erklären könnte.“

Was aber, wenn die Zahl der Angriffe zurückgegangen ist?

Natürlich gelten viele der oben beschriebenen Faktoren in diesem frühen Stadium noch als Hypothesen. Es besteht weiterhin die Möglichkeit – trotz gelegentlicher geringfügiger Abweichungen in den Zahlen der berichtenden Organisationen –, dass die Zahl der Ransomware-Angriffe in letzter Zeit tatsächlich zurückgegangen ist.

Sollte dies der Fall sein, könnten folgende Faktoren dazu beitragen:

Unabhängig vom Grund für den offensichtlichen Rückgang der Ransomware-Vorfälle wird CTI die Lage weiterhin beobachten. Wir werden Ransomware weiterhin als eine der größten Bedrohungen betrachten und im Laufe des Jahres ein klareres Bild von den treibenden Kräften hinter der gemeldeten Anzahl von Angriffen gewinnen.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

„Tim Starks hat sehr anschaulich dargelegt, wie die von verschiedenen Geheimdienstquellen und Regierungsbehörden gemeldeten Statistiken gelegentlich voneinander abweichen können – und dies mitunter sogar in erheblichem Maße.“ Es ist oft nur allzu leicht, in ein Muster des blinden Vertrauens in die uns vorgelegten Daten zu verfallen, insbesondere wenn diese Daten von einer Stelle stammen, die sich in der Vergangenheit als zuverlässige Informationsquelle erwiesen hat.

„CTI wird weiterhin eine Vielzahl von Quellen für Ransomware-Statistiken beobachten und dabei auf alle wesentlichen Entwicklungen achten, die sich möglicherweise auf das Risiko auswirken könnten, das Erpresserbanden für Tanium sowie dessen Lieferanten, Partner und Kunden darstellen.“

2. „Infostealer“ ist die bevorzugte Nutzlast der russischen APT-Gruppe „Shuckworm“ bei ihren Aktivitäten, die sich gegen die Ukraine richten

Ein aktueller Blogbeitrag von Symantec unter dem Titel „ “ ( ) (wird in einem neuen Tab geöffnet) beschreibt neue Aktivitäten des Shuckworm, die von dem Sicherheitsunternehmen beobachtet wurden. Diese richteten sich bislang gegen die Ukraine und scheinen darauf abzuzielen, Malware zum Diebstahl von Informationen in die betroffenen Netzwerke einzuschleusen.

Laut Symantec war diese Aktivität noch im 8. August 2022 zu beobachten, und ein Großteil der im Rahmen dieser Kampagne festgestellten Aktivitäten stimmt mit den Aktivitäten überein, die von CERT-UA (öffnet in einem neuen Tab) am 26. Juli 2022 hervorgehoben wurden.

Was ist ein Shuckworm?

Shuckworm (auch bekannt als Gamaredon oder Armageddon) ist eine mit Russland in Verbindung stehende Gruppe, die ihre Aktivitäten seit ihrem ersten Auftreten im Jahr 2014 fast ausschließlich auf die Ukraine konzentriert hat. Es wird allgemein als eine vom Staat geförderte Spionageoperation angesehen (wird in einem neuen Tab geöffnet), die vom ukrainischen Geheimdienst (SSU) mit dem FSB in Verbindung gebracht wird.

Der ukrainische Geheimdienst hat der Gruppe Cyberoperationen zugeschrieben, die sich gegen Tausende öffentlicher, privater und staatlicher Einrichtungen im Land richteten, mit dem Ziel, Informationen zu sammeln, den Betrieb zu stören und die Kontrolle über kritische Infrastrukturziele zu erlangen.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

„In dieser Darstellung gibt es zwei bemerkenswerte Themen, auf die es sich lohnt, einzugehen. Zum einen ist der zunehmende Einsatz von Malware zum Diebstahl von Informationen (allgemein als „Info-Stealer“ bezeichnet) bei Angreifern aller Art zu beobachten. Intel 471 gibt an, dass das auf Cyber-Bedrohungsanalysen spezialisierte Unternehmen seit Beginn des Jahres 2022 einen Anstieg der Anzahl der im Dark Web verfügbaren Infostealer um 150 % (öffnet in einem neuen Tab) im Vergleich zum gleichen Zeitraum des Jahres 2021 festgestellt hat. Dies ist ein deutlicher Hinweis auf eine starke Nachfrage nach solchen Produkten seitens der Akteure im Bereich der Cyberbedrohungen sowie ein Hinweis auf den hohen Grad an Angriffserfolg, zu dem solche Software beitragen kann.

Das zweite bemerkenswerte Thema ist die Tatsache, dass aus dem Bericht von Symantec hervorgeht, dass sich Shuckworm bislang ausschließlich auf Angriffe auf ukrainische Einrichtungen konzentriert hat. Trotz verschiedener öffentlich zugänglicher Berichte über die Aktivitäten der Gruppe scheint sich Shuckworm von der öffentlichen Aufmerksamkeit nicht beirren zu lassen, und ihre Aktivitäten gehen unvermindert weiter. Shuckworm mag zwar nicht die ausgefeilteste Gruppe innerhalb der Hierarchie staatlich unterstützter Bedrohungsakteure in Russland sein, doch – wie Symantec hervorhebt – gleicht sie ihre technischen Mängel durch ihre Hartnäckigkeit, Beharrlichkeit und die Unerbittlichkeit, mit der sie ihre Opfer ins Visier nimmt, mehr als aus.

Wie bei den meisten Schadprogrammen und TTPs, die von den Konfliktparteien im Russland-Ukraine-Konflikt eingesetzt werden, besteht das Hauptrisiko in einem „Übergreifen“ auf westliche Organisationen, Netzwerke und kritische Infrastrukturen – eine Bedrohung, auf die die US-Behörde für Cybersicherheit und Infrastruktur ( , CISA) im Rahmen ihrer Initiative „Shields Up“ kontinuierlich hingewiesen hat. (öffnet sich in einem neuen Tab)“

3. UNC3890 Es besteht der Verdacht, dass iranische Hackerangriffe auf die israelischen Sektoren Schifffahrt, Gesundheitswesen, Regierung und Energie abzielen

Ein aktueller Bericht von Mandiant beschreibt detailliert die Nachverfolgung der folgenden Gruppen durch das Unternehmen: „ “ UNC3890 (wird in einem neuen Tab geöffnet) – eine Gruppe von Aktivitäten, die sich mittels Social-Engineering-Köder und einer potenziellen „Watering-Hole“-Falle gegen israelische Unternehmen aus den Bereichen Schifffahrt, Regierung, Energie und Gesundheitswesen richtet. Mandiant geht davon aus, dass der Akteur Verbindungen zum Iran unterhält und wahrscheinlich Spionageaktivitäten durchführt, um iranische Interessen zu fördern.

Was ist UNC3890?

  • „UNC“ ist die Abkürzung für „unkategorisiert“ und bezieht sich auf eine Gruppe von Aktivitäten. Bei dieser Operation kommen mehrere öffentlich zugängliche Tools zum Einsatz, darunter Metasploit, Unicorn und NorthStar C2, sowie mindestens zwei eigens entwickelte Tools: eine als „SUGARUSH“ bezeichnete Backdoor und ein Browser-Anmeldedaten-Stealer namens „SUGARDUMP“.
  • Mandiant begann Ende 2021 erstmals mit der Verfolgung von „ UNC3890 “, wobei festgestellt wurde, dass diese Gruppe israelische Einrichtungen ins Visier nahm und Interesse an Sektoren wie Regierung, Schifffahrt, Energie, Luftfahrt und Gesundheitswesen zeigte. Zwar scheint sich der Großteil der Angriffe auf Israel zu konzentrieren, doch handelte es sich bei einigen der von der Gruppe im Schifffahrtssektor ins Visier genommenen Unternehmen um globale Konzerne, was potenzielle Auswirkungen über Israel hinaus zur Folge haben könnte.
  • Mandiant konnte in erster Linie die von „ UNC3890 “ eingesetzten Post-Exploitation-Implantate aufdecken, konnte jedoch auch einige Erkenntnisse gewinnen, die möglicherweise Aufschluss über die Methoden der Gruppe zum Erlangen des ersten Zugriffs geben.
  • Ein potenzielles „ “-Watering-Hole (wird in einem neuen Tab geöffnet) wurde auf der Anmeldeseite eines seriösen israelischen Versandunternehmens entdeckt, das nach Ansicht der Forscher wahrscheinlich von UNC3890 kompromittiert wurde. Beim Aufrufen der legitimen Anmeldeseite würde der Benutzer eine POST-Anfrage mit vorläufigen Daten über den angemeldeten Benutzer an einen Angreifer senden. Es wird vermutet, dass die „Watering Hole“-Angriffsmethode dazu genutzt wurde, Kunden und Nutzer der Reederei ins Visier zu nehmen. Mandiant hat einen weiteren Angriffsversuch der Gruppe auf ein anderes großes israelisches Schifffahrtsunternehmen festgestellt, der mit der „Watering-Hole“-Methode im Einklang steht.
  • Mehrere Domains, die auf die Server UNC3890’s und C2 verweisen, gaben sich als legitime Dienste und Unternehmen aus, darunter LinkedIn, Pfizer, Facebook und Office 365. Die Domains wurden vermutlich dazu genutzt, Zugangsdaten für den legitimen Dienst zu erbeuten, Phishing-E-Mails an zu versenden oder um sich in den erwarteten Netzwerkverkehr einzufügen. Mandiant identifizierte zudem einen Server mit der Nummer UNC3890 , auf dem mehrere ZIP-Dateien gehostet wurden, die aus Facebook- und Instagram-Konten rechtmäßiger Personen gesammelte Inhalte enthielten.
  • Die Aktion erfolgt unter Verwendung einer XLS-Datei, die darauf ausgelegt ist, das Opfer mit einem gefälschten Stellenangebot zu ködern. Die Datei installiert SUGARDUMP, ein Tool zum Ausspähen von Anmeldedaten. Bei dem gefälschten Stellenangebot handelt es sich um eine Stelle als Softwareentwickler bei LexisNexis.
  • Nachdem sich die Gruppe einen ersten Zugriff verschafft hat, nutzt sie ein breites Spektrum an Tools, um auf die Umgebung zuzugreifen und diese zu kontrollieren.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

„Die Masche mit gefälschten Stellenangeboten scheint in letzter Zeit bei Cyberkriminellen an Beliebtheit zu gewinnen (ganz zu schweigen davon, dass es sich dabei insbesondere bei mit dem Iran in Verbindung stehenden Akteuren um eine seit jeher beliebte Technik handelt), und „ UNC3890 “ ist lediglich die jüngste Gruppe, die sich diesem Trend anschließt.

Was bei UNC3890 etwas anders ist, ist die Ausrichtung auf Reedereien. Da unklar ist, auf welche Daten der Angreifer genau Zugriff erlangt hat, als er Berichten zufolge eine „Watering-Hole“-Attacke gegen ein israelisches Schifffahrtsunternehmen durchführte, ist auch unklar, was genau das Endziel war. Dennoch deutet der Einsatz maßgeschneiderter Tools zum Abgreifen von Anmeldedaten sowie von Hintertüren im Rahmen dieser Operationen auf ein höheres Maß an Raffinesse seitens der Angreifer hin.

Besuchen Sie unsere Bibliothek mit Inhalten zum Thema Cybersicherheit

Möchten Sie mehr über die neuesten Entwicklungen im Bereich der Cybersicherheit erfahren? Wir bieten Ihnen eine große Auswahl an Artikeln, Blogbeiträgen und Videos zum Thema Cybersicherheit. Werfen Sie einen Blick auf unsere ausgewählten Beiträge.