Besser die Methoden kennen! Was ist Ransomware? Funktion, Verbreitung, Arten

Ransomware, auch Erpressungstrojaner, Kryptotrojaner, oder Verschlüsselungstrojaner genannt, ist eine Unterart von Malware (Schadsoftware). Bei einem Ransomware-Angriff verschlüsseln Hacker Daten auf einem System und fordern für ihre Entschlüsselung Lösegeld. Um Entdeckung durch Ermittlungsbehörden zu erschweren, fordern die Hacker das Lösegeld normalerweise in Form von Kryptowährungen. Diese sind nicht verfolgbar und ermöglichen anonyme Transfers. Ransomware hält den Computer oder das System quasi als Geisel.

1. Double Extortion: Der Standard-Modus Operandi (Datenverschlüsselung und -veröffentlichung).
   
   
2. Triple Extortion: Zusätzlich zur Datenverschlüsselung und -veröffentlichung erfolgen DDoS-Attacken beim Opfer.
   
   
3. Second-Stage-Extortion: Auch Kunden der eigentlichen Opfer werden damit erpresst, dass ihre Daten veröffentlicht werden, sollte keine Zahlung erfolgen.
   
   Quelle: BKA, Cybercrime Bundeslagebild 2021

Die Zahl der Ransomware-Angriffe nimmt zu. Der Ransomware-Report 2022, für den der Cybersecurity-Spezialist Hornetsecurity über 2.000 IT-Führungskräfte befragt hat, ergab, dass bereits 24 Prozent der Unternehmen Opfer eines Ransomware-Angriffs waren. Im Vergleich zu 2021 stieg diese Zahl damit um drei Prozentpunkte.

Hier eine Liste mit fünf der bekanntesten Ransomware-Angriffe – und -Gruppierungen der letzten zehn Jahre:

1. Conti
   Conti ist seit 2020 eine der aktivsten Ransomware-Gruppierungen. Die Gruppe zeichnet sich vor allem durch ihr aggressives und effektives Vorgehen aus. Innerhalb von nur vier Monaten veröffentlichte sie auf ihrer dezidierten Leak-Seite (DLS) Daten von 530 Unternehmen. Cyberermittler stellten fest, dass Conti im Schnitt 14 Stunden pro Tag an sieben Tagen in der Woche aktiv ist. Die Mitglieder sind über verschiedene Zeitzonen verteilt.
   
   
2. Cryptolocker
   Die Cryptolocker-Attacke startete am 5. September 2013 und hielt bis Mai 2014 an. Verbreitet wurde die Malware meistens über einen E-Mail-Anhang. Die Hacker hinter der Attacke forderten Lösegeld nicht nur in Bitcoin, sondern auch in Dollar und Euro. Diese Zahlungen konnten über Prepaid-Services entrichtet werden. Einige Opfer gaben an, den digitalen Schlüssel zum Entschlüsseln ihrer Daten trotz Begleichung des Lösegelds nie erhalten zu haben. Im Juni 2014 gelang es einem Team von Security-Experten eine Datenbank mit den digitalen Schlüsseln der Cryptolocker-Hacker sicherzustellen. Opfer der Malware hatten dadurch die Möglichkeit, sich ihre Daten kostenlos entschlüsseln zu lassen.
   
   
3. Maze
   Malware der Variante Maze wurde erstmals im Mai 2019 entdeckt. Die Maze-Hacker veröffentlichten viele der gestohlenen Dokumente auf ihrer Website. Um ihre Lösegeldforderungen zu untermauern, drohten sie damit, sensible Daten von Unternehmen zu teilen, um den Aktienkurs des Opfers zu manipulieren. Die Gruppierung kündigte ebenfalls an, gestohlene Daten zu nutzen, um Kunden der angegriffenen Firmen zu attackieren. Ende 2020 gab Maze bekannt, sich auflösen zu wollen. Selbst wenn diese Aussage zutrifft, bedeutet das nicht das Ende der Aktivitäten der Maze-Hacker. Die Gruppe Grandcrab löste sich ebenfalls auf, nur um dann als Revil in anderer Form wieder aktiv zu werden.
   
   
4. Revil
   Die Gruppierung Revil trat erstmals im Jahr 2019 in Erscheinung. Sie bot Ransomware-as-a-Service an. Das heißt, man konnte über die Vereinigung Angriffe als Dienstleistung kaufen. Bekanntheit erlangte Revil, als ihnen im März 2021 ein Angriff auf den Chiphersteller Asus zugeordnet wurde. Dabei verlangten die Erpresser laut Medienberichten 50 Millionen Dollar Lösegeld. Im Juli 2021 soll die Vereinigung einen Angriff auf den US-amerikanischen IT-Dienstleister Kaseya verübt haben. Die Lösegeldforderung belief sich auf 70 Millionen Dollar. Laut einer russischen Nachrichtenagentur wurde Revil im Januar 2022 durch den russischen Inlandsgeheimdienst FSB und die russische Polizei zerschlagen.
   
   
5. Wanna Cry
   Wanna Cry war einer der, wenn nicht sogar der verheerendste Ransomware-Angriff der letzten zehn Jahre. Über 200.000 Computer in 150 Ländern wurden an einem Tag infiziert. Wanna Cry nutzt eine Schwachstelle im Server-Message-Block-Netzprotokoll von Windows. Microsoft hatte zwar im März 2017, etwa zwei Monate vor dem Angriff einen Patch für diese Schwachstelle veröffentlicht: Viele Nutzer hatten dieses Update jedoch noch nicht installiert. Der wirtschaftliche Schaden von Wanna Cry lag laut Expertenschätzungen bei bis zu 4 Milliarden Dollar. Der britische Cyber-Security-Forscher Marcus Hutchinson entdeckte einige Stunden nach Beginn des Angriffs einen Notausschalter im Code der Ransomware. Damit konnte der Angriff eingedämmt werden, bevor er sein volles Potenzial entfaltet hatte.