Was ist Ransomware?
Trend Micro: Ransomware-Risiken durch proaktives Angriffsflächen-Risikomanagement (ASM) verringern
Definition von Ransomware und wie sie wichtige Informationen ins Visier nimmt
Ransomware ist eine Malware, die lokal und in Netzwerken gespeicherte wichtige Dateien verschlüsselt und ein Lösegeld für die Entschlüsselung fordert. Hacker entwickeln diese Art von Malware, um durch digitale Erpressung Geld zu verdienen.
Die Verschlüsselung durch Ransomware kann nur mit dem passenden Schlüssel rückgängig gemacht werden. Die einzige Alternative zur Wiederherstellung der Daten ist ein Backup.
Die Funktionsweise von Ransomware ist besonders effektiv. Bei anderen Arten von Malware, die Daten zerstören oder entwenden, gibt es weitere Möglichkeiten der Wiederherstellung. Haben Sie kein Backup, ist die Bezahlung des Lösegelds meist der einzige Weg, die Daten wiederherzustellen. Es kommt auch vor, dass Unternehmen das Lösegeld zahlen, der Angreifer aber keinen Schlüssel sendet.
Wird die Ransomware aktiviert, durchsucht sie den lokalen und Netzwerkspeicher nach Dateien, um sie zu verschlüsseln. Sie sucht gezielt nach Dateien, die für das Unternehmen oder die Einzelperson besonders wichtig sind. Dies umfasst auch Backup-Dateien, mit denen Sie Ihre Daten wiederherstellen könnten. Ransomware sucht unter anderem nach folgenden Dateitypen:
- Microsoft Office: .xlsx, .docx und .pptx sowie ältere Versionen davon
- Bilddateien: .jpeg, .png, .jpeg, .gif
- Unternehmensbezogene Bilddateien: .dwg
- Daten: .sql und .ai
- Video: .avi, .m4a, .mp4
Verschiedene Arten von Ransomware zielen auf verschiedene Dateiarten ab. Aber es gibt auch Dateiarten, die für alle interessant sind. Die meisten Arten von Ransomware suchen nach Microsoft Office Dateien, weil diese oft kritische Unternehmensinformationen enthalten. Die Ransomware konzentriert sich auf wichtige Dateien, um die Wahrscheinlichkeit zu erhöhen, dass das Lösegeld gezahlt wird.
Arten von Ransomware
Leakware oder Doxware
Leakware, auch bekannt als Doxware, bringt Ransomware-Bedrohungen auf eine neue Ebene, indem Dateien nicht nur verschlüsselt werden, sondern auch sensible oder vertrauliche Daten veröffentlicht werden, wenn das Lösegeld nicht bezahlt wird. Im Gegensatz zu herkömmlicher Ransomware, bei der der Fokus darauf liegt, den Zugriff auf Daten durch Durchschaltung zu verhindern, nutzt Leakware die Angst der Menschen vor öffentlicher Exposition. Oft verwenden Hacker Leakware als Teil einer doppelten Erpressungsstrategie, was sowohl die Entschlüsselung als auch die Verhinderung von Datenlecks erfordert.
Mobile Ransomware
Da mobile Geräte zu einem zentralen Bestandteil privater und geschäftlicher Aktivitäten geworden sind, wurden sie zum Ziel von Ransomware-Angriffen. Mobile Ransomware verbreitet sich häufig über bösartige Apps oder Phishing-Nachrichten. Nach der Installation sperrt die Malware das Gerät, zeigt Lösegeldnachrichten an oder verschlüsselt lokalen Speicher, was verhindert, dass Benutzer auf ihre Apps, Fotos und Kontakte zugreifen können. In der Regel verlangen Hacker Zahlungen in Kryptowährung, um das Gerät zu entsperren.
Wischer
Wiper gehören zu den destruktivesten Formen von Ransomware. Anstatt Dateien für Lösegeld zu verschlüsseln, sind Wiper so konzipiert, dass sie Daten dauerhaft löschen oder beschädigen, ohne dass eine Wiederherstellung möglich ist. Diese Angriffe zielen oft darauf ab, Chaos zu verursachen, den Betrieb zu unterbrechen oder eine politische oder ideologische Botschaft zu senden. Wischer werden manchmal als traditionelle Ransomware getarnt, was Opfer dazu verleitet, ein Lösegeld zu zahlen, obwohl die Daten bereits irreversibel verloren gehen.
Scareware
Scareware verlässt sich auf psychologische Manipulation, um Opfern Geld zu erpressen. Oft wird es als Antivirensoftware oder Systemwarnung ausgegeben, die behaupten, dass das Gerät des Opfers mit Malware infiziert ist oder kritische Schwachstellen aufweist. Die Software verlangt dann eine Zahlung, um die nicht vorhandenen Probleme zu „beheben“. Obwohl Scareware Dateien nicht immer verschlüsselt, kann es Benutzer aus ihren Systemen aussperren oder sie mit dauerhaften Pop-up-Nachrichten bombardieren, bis eine Lösegeldzahlung erfolgt. Scareware setzt auf Angst und mangelndes technisches Wissen und ist damit ein effektives Tool für weniger technisch versierte Nutzer.
Phishing-E-Mails enthalten häufig Ransomware
Der Unterschied zwischen Ransomware und anderer Malware besteht darin, was auf die Aktivierung folgt. In der Regel wird Ransomware ausgeführt, wenn Anwender auf einen Link in einer Phishing-E-Mail klicken oder den Anhang öffnen. Die Malware wird daraufhin von einem Server heruntergeladen, den der Angreifer kontrolliert.
Nach dem Download kann die Ransomware zunächst inaktiv bleiben, auf dem Netzlaufwerk schlummern oder auf dem infizierten Computer direkt aktiviert werden. Sobald sie ausgeführt wird, durchsucht sie die vorhandenen lokalen und Netzwerkspeichersysteme nach relevanten Dateien mit entsprechenden Endungen und verschlüsselt sie. Die Verschlüsselung kann asymmetrisch oder symmetrisch erfolgen, wobei viele Ransomware-Angriffe beide Methoden anwenden.
Angreifer fordern eine Zahlung
Angreifer verlangen die Auszahlung meist in Kryptowährung, hauptsächlich in Bitcoin. Diese Zahlungsweise reduziert das Risiko, gefasst zu werden. Angreifer verstecken ihre Server außerdem hinter dem TOR-Anonymisierungsnetzwerk, um nicht identifiziert zu werden.
Nachdem die Ransomware die Dateien verschlüsselt hat, zeigt sie Ihrem Unternehmen eine Nachricht an. Die Angreifer verlangen Geld für den Code zur Freigabe der Dateien. Dieses Lösegeld kann von ein paar hundert bis zu Millionen von Dollar reichen. Zahlen die Anwender nicht sofort, erhöht die Malware möglicherweise die Lösegeldsumme.
Manche Ransomware-Angriffe wenden Double Extortion (doppelte Erpressung) an. Der Angreifer verlangt eine Summe für die Freigabe der Dateien und schickt außerdem eine Liste von angegriffenen Organisation, die nicht gezahlt haben. Diese doppelte Erpressung wird Sie dazu bringen, das Lösegeld zu zahlen, damit Ihre Marke keinen Schaden nimmt.
Ransomware entwickelt sich
Unterschiedliche Arten von Ransomware wenden unterschiedliche Methoden an, um die Daten zu verschlüsseln und zu verhindern, dass die Anwender den Schlüssel finden. Bei älterer Ransomware kommt entweder eine asymmetrische Verschlüsselung (client- oder serverseitig) oder eine einfache symmetrische Verschlüsselung zum Einsatz. Neuere Ransomware kombiniert beide, um die Effizienz des Angriffs zu steigern.
Symmetrische Verschlüsselung
Ransomware-Hacker nutzen heute kaum noch ausschließlich symmetrische Verschlüsselung. Bei der symmetrischen Verschlüsselung gibt es nur einen einzigen Schlüssel für die Ver- und Entschlüsselung. Der Schlüssel wird oft im lokalen System gespeichert. Spezialisten und Forscher können ihn dort finden und die Daten entschlüsseln, ohne dass ein Lösegeld gezahlt wird. Um dies zu verhindern, nutzen Hacker jetzt häufiger hybride Kryptografie.
Clientseitige asymmetrische Verschlüsselung
Bei der asymmetrischen Verschlüsselung gibt es einen öffentlichen Schlüssel, mit dem die Daten verschlüsselt werden, und einen separaten, privaten Schlüssel für die Entschlüsselung. Eine gängige Verschlüsselungsmethode ist das RSA-Kryptografie-Verfahren, das auch bei HTTPS zum Einsatz kommt. RSA ist langsamer als die symmetrische Verschlüsselung, und alle Dateien müssen verschlüsselt sein, bevor der Angreifer den privaten Schlüssel an den Server übertragen kann.
Die Software schließt die Verschlüsselung ab, sendet den privaten Schlüssel an den Server des Angreifers und löscht ihn vom lokalen Speicher. Ein Risiko für den Angreifer ist, dass der Computer von Netz getrennt wird, bevor die Verschlüsselung abgeschlossen ist. Wenn das passiert, wird der private Schlüssel nicht an den Server des Angreifers geschickt, und der Angreifer kann kein Lösegeld fordern.
Serverseitige asymmetrische Verschlüsselung
Die serverseitige asymmetrische Verschlüsselung löst das Problem der clientseitigen Verschlüsselung wie folgt: Sie verschlüsselt die Dateien, wenn der Computer online geht. Der Server des Angreifers generiert ein Schlüsselpaar, das aus einem privaten Schlüssel und einem öffentlichen Schlüssel besteht. Die Dateien werden mit dem öffentlichen Schlüssel verschlüsselt.
Wenn Sie das Lösegeld zahlen, schickt der Angreifer Ihnen den privaten Schlüssel. Hierbei ist das Risiko für den Angreifer, dass Sie bei der Übertragung des privaten Schlüssels eingreifen und so in den Besitz des Schlüssels kommen können. Hierbei ist das Risiko für den Angreifer, dass Sie bei der Übertragung des privaten Schlüssels eingreifen und so in den Besitz des Schlüssels kommen können. Der Schlüssel kann dann mit anderen betroffenen Unternehmen geteilt werden. Die Ransomware wäre für den Angreifer dadurch nutzlos.
Hybride Verschlüsselung
Nachdem Hacker erkannten, dass frühere Ransomware-Versionen angreifbar waren, entwickelten sie hybride Versionen. Bei diesen generiert die Software zwei Schlüsselsätze, und eine Verschlüsselungskette behebt die Schwächen der älteren Versionen. Funktionsweise der Verschlüsselungskette:
- Der symmetrische Schlüssel verschlüsselt die Dateien.
- Die Software generiert ein clientseitiges Schlüsselpaar. Der clientseitige öffentliche Schlüssel verschlüsselt die symmetrische Schlüsseldatei.
- Die Software generiert ein serverseitiges Schlüsselpaar. Der serverseitige öffentliche Schlüssel verschlüsselt den clientseitigen privaten Schlüssel, der dann an den Angreifer geschickt wird.
- Wenn Sie das Lösegeld zahlen, entschlüsselt der serverseitige private Schlüssel den clientseitigen privaten Schlüssel. Dieser Schlüssel geht dann an Ihr Unternehmen, und die Verschlüsselungskette wird umgekehrt.
Wie man Ransomware mit Backups verhindert
Die beste Möglichkeit, sich vor Ransomware zu schützen, sind Backups. Lokal oder auf einem Netzlaufwerk gespeicherte Backup-Dateien sind angreifbar. Cloud-Speicher ist vor Netzwerk-Scans durch Ransomware geschützt und damit eine gute Lösung zur Wiederherstellung. Ausnahme: Sie erfassen Cloud-Speicher als lokales Laufwerk oder Unterordner.
Prävention ist das beste Mittel, um Schäden durch Ransomware zu vermeiden. Die meisten Angriffe beginnen, wenn Anwender die Software unbeabsichtigt direkt herunterladen oder versehentlich ein böswilliges Skript ausführen.
Zwei Möglichkeiten, die verhindern, dass Anwender Ransomware herunterladen, sind DNS-basiertes Content Filtering und E-Mail-Cybersicherheitslösungen mit intelligenten Quarantänefunktionen. DNS-basiertes Content Filtering verhindert, dass Anwender Internetseiten aufrufen, die auf der Sperrliste stehen. E-Mail-Filter stellen böswilligen Content und böswillige Anhänge unter Quarantäne, damit sie von einem Administrator überprüft werden können.
Zudem empfiehlt es sich, auf allen Geräten (einschließlich Mobilgeräten) immer Anti-Malware-Software mit Machine Learning und Verhaltensüberwachung einzusetzen. Eine gute Anti-Malware-Anwendung erkennt Ransomware, bevor sie auf den Speicher zugreifen und Dateien verschlüsseln kann. Für bestmögliche Effektivität muss Anti-Malware-Software immer über die neuesten Patches und Updates verfügen, damit sie die aktuellen Bedrohungen erkennt.
Tausende von Ransomware-Angriffen betroffen
Weltweit werden Tausende von Anwendern zur Zielscheibe von Ransomware-Angriffen. In manchen Fällen kann die Ransomware sogar noch Probleme verursachen, nachdem sie vermeintlich unter Kontrolle ist. Anti-Malware-Programme erkennen viele ältere Versionen, aber Hacker entwickeln laufend neue, um nicht entdeckt zu werden.
Ein Beispiel: 2018 und 2019 deaktivierte die Ryuk-Ransomware die Windows-Systemwiederherstellung. Die Anwender konnten ihre Daten nicht mehr von einem früheren Restore-Punkt im Betriebssystem wiederherstellen. Ryuk nahm dabei Unternehmen ins Visier und verlangte mehrere hunderttausend Dollar Lösegeld.
CryptoLocker, WannaCry und Petya waren unterschiedliche Formen von Ransomware, die globale Infrastrukturen lahmlegten und von denen sogar Banken und Regierungsbehörden betroffen waren. Insbesondere WannaCry zielte auf Windows-Rechner ab und nutzte ein von der United States National Security Agency (NSA) entwickeltes Exploit, um offene Netzlaufwerke zu scannen und angreifbare Dateien zu verschlüsseln.
Anhaltende Ransomware-Bedrohungen sind unter anderem Gandcrab, SamSam, Zeppelin und REvil. Diese neueren Varianten stellen weiterhin gefährliche Malware dar, die Unternehmenssysteme zerstören kann.
Quelle: David Sancho - Senior Threat Researcher - Trend Micro
Anhaltende Gefahr durch Ransomware
Ransomware nimmt Unternehmen jeder Größe ins Visier und kann Ihre gesamte Organisation lähmen, falls Sie keine Backups haben. Wenn Sie verstehen, wie Ransomware funktioniert und welche Auswirkungen sie auf Ihr Unternehmen haben kann, können Sie sich besser schützen. Der beste Schutz vor einem Angriff besteht darin, die Anwender aufzuklären, auf allen Geräten Anti-Malware zu installieren und die Anwender davon abzuhalten, böswillige E-Mail-Nachrichten zu öffnen.
Hier können Sie die Trend Micro-Studie herunterladen
https://www.trendmicro.com/vinfo/de/security/news/cybercrime-and-digital-threats/the-future-of-ransomware
Trend Micro Ransomware Protection
Vergangenes Jahr waren 83 % der Organisationen von mehreren Sicherheitsverletzungen betroffen, die jeweils 4,4 Millionen US-Dollar kosteten. Gleichzeitig führte die Reduzierung der Risikoexposition zu durchschnittlichen Einsparungen von 1,3 Millionen US-Dollar.
Das Cyber Risk Exposure Management, Teil von Trend Vision One™, Cybersicherheitsplattform für Unternehmen, senkt das Cyberrisiko drastisch. Es erlaubt kontinuierliche Erkennung, Analysen in Echtzeit und automatisierte Behebung in Cloud-, Hybrid-Cloud- und On-Premises-Umgebungen.
Verwandte Informationen über Ransomware
Trend Micro 2024 Midyear Cybersecurity Threat Report
Böswillige Akteure sind immer auf der Suche nach neuen Technologien, die sie missbrauchen können, nach bedeutenden Weltereignissen, die sie ausnutzen können, und nach schlecht verwalteten und anfälligen Anlagen, die sie kompromittieren können.
Wie Trend Micro Managed Detection and Response einen Play Ransomware-Angriff stoppen konnte
Mit Hilfe der Trend Micro Vision One Plattform konnte unser MDR-Team einen Play Ransomware-Angriff schnell identifizieren und eindämmen.
Weiterführende Forschung
Weiterführende Artikel