Ransomware-Banden entwickeln neue Partnermodelle, um Cyberkriminelle anzulocken

Die Ransomware-Landschaft entwickelt sich weiterhin rasant, und aktuelle Untersuchungen von Secureworks zeigen, dass Bedrohungsakteure bei Cyberkriminalität zunehmend unternehmensähnliche Ansätze verfolgen. Zwei Ransomware-Gruppen, DragonForce und Anubis, bieten nun erweiterte Partnerprogramme an, die legitime Geschäftsstrukturen nachahmen – komplett mit Serviceangeboten, flexiblem Branding und Supportsystemen.

Diese Entwicklungen markieren einen beunruhigenden Trend in der Welt von Ransomware-as-a-Service (RaaS), einem Modell, das es weniger erfahrenen Angreifern bereits erschreckend leicht gemacht hat, verheerende Ransomware-Kampagnen zu starten.

DragonForce verwandelt sich in ein Cybercrime-Kartell

DragonForce, ein RaaS-Unternehmen, das erstmals im August 2023 auftauchte, hat sich kürzlich in „Kartell“ umbenannt, was seinen Wandel hin zu einer dezentraleren Struktur unterstreicht. Laut der Counter Threat Unit (CTU) von Secureworks bietet die Gruppe nun ein einzigartiges Partnermodell an, mit dem Cyberkriminelle ihre eigenen Ransomware-Marken erstellen können.

Anstatt von seinen Partnern die Nutzung seiner Ransomware zu verlangen, bietet DragonForce Zugriff auf seine Infrastruktur – einschließlich Admin- und Client-Panels, Verschlüsselungstools, Lösegeldverhandlungssystemen, Datenspeicherlösungen, einer Tor-basierten Leak-Site und Kundensupport. Diese Flexibilität ist für Angreifer attraktiv, die über eigene Malware verfügen, aber Unterstützung bei Logistik, Infrastruktur oder der Interaktion mit dem Opfer benötigen.

Dieses Modell zieht zwar ein breiteres Spektrum an Cyberkriminellen an, birgt aber auch Risiken. Wird ein Partner kompromittiert, könnten auch andere, die mit der gemeinsamen Infrastruktur verbunden sind, gefährdet sein. Das könnte dazu führen, dass ganze Netzwerke koordinierter Angriffe aufgedeckt werden.

Anubis bietet drei Arten von Ransomware-Partnerschaften an

Anubis, ein weiterer RaaS-Betreiber, geht ebenfalls neue Wege und führt drei verschiedene Partnermodelle ein. Jedes Modell bietet Kriminellen, die ihre Angriffe monetarisieren wollen, einen anderen Weg:

1. Ein klassisches RaaS-Setup, bei dem die Partner 80 % der Lösegeldzahlungen einbehalten.
2. Ein „Daten-Lösegeld“-Modell, bei dem detaillierte Opferanalysen auf einer passwortgeschützten Site veröffentlicht werden, um die Opfer zur Zahlung zu drängen.
3. Ein Modell zur „Zugriffsmonetarisierung“, das verbundenen Unternehmen dabei hilft, zuvor kompromittierte Opfer zu erpressen, indem sie ihnen 50 % des Lösegelderlöses anbieten.

Die Methode, Daten zu erpressen, ähnelt kriminellem Content-Marketing. Die Anubis-Betreiber veröffentlichen einen investigativen Artikel über die gestohlenen Daten des Opfers und teilen ihn anschließend privat mit dem Opfer mit der Warnung, dass die Informationen bei Nichtzahlung öffentlich werden. Sie nutzen sogar ihre Social-Media-Präsenz, um den Druck zu erhöhen und mit der Offenlegung gegenüber Kunden und Aufsichtsbehörden zu drohen.

Ransomware-Betreiber agieren jetzt wie Unternehmen

Diese Partnermodelle zeigen, dass moderne Ransomware-Gruppen ihre Aktivitäten zunehmend wie legitime Unternehmen führen. Vom technischen Support bis hin zur Möglichkeit der Markenanpassung sind die Strategien darauf ausgelegt, ein breiteres Spektrum potenzieller Angreifer anzusprechen. Tatsächlich ähnelt das Angebot von DragonForce stark einem Managed Service Provider – nur ohne die Legalität.

Laut Rafe Pilling, Director of Threat Intelligence bei Secureworks, sollten Verteidiger Ransomware-Banden als Unternehmen betrachten. Diese Bedrohungsakteure passen sich schnell an, jagen nach Gewinnen und reagieren auf Veränderungen im Cybercrime-Ökosystem, darunter schärfere Strafverfolgungsbehörden und sinkende Lösegeldzahlungen.

So können Unternehmen geschützt bleiben

Da die Eintrittsbarriere für Ransomware-Angriffe immer weiter sinkt, müssen Unternehmen proaktiv Maßnahmen ergreifen, um ihre Abwehrmaßnahmen zu stärken. Die CTU von Secureworks empfiehlt folgende Sicherheitsmaßnahmen:

• Regelmäßiges Patchen internetfähiger Systeme
• Implementieren Sie eine Phishing-resistente Multifaktor-Authentifizierung
• Führen Sie sichere Offline-Backups kritischer Daten durch
• Überwachen Sie Endpunkte und Netzwerke auf ungewöhnliches Verhalten
• Entwickeln und testen Sie einen detaillierten Incident-Response-Plan

Die zunehmende Raffinesse von Ransomware-Banden und ihren Partnermodellen stellt eine wachsende Bedrohung für die globale Cybersicherheit dar. Um immer einen Schritt voraus zu sein, muss man verstehen, wie diese Operationen funktionieren – und sich darauf vorbereiten, wie man sich auf einen versierten Konkurrenten vorbereiten würde.