Was ist Ransomware?
Schützen Sie Ihr Unternehmen mit proaktiven Sicherheitsstrategien gegen Ransomware
Ransomware: Definition
Ransomware ist eine Malware, die lokal und in Netzwerken gespeicherte wichtige Dateien verschlüsselt und ein Lösegeld für die Entschlüsselung fordert. Hacker entwickeln diese Art von Malware, um durch digitale Erpressung Geld zu verdienen.
Die Verschlüsselung durch Ransomware kann nur mit dem passenden Schlüssel rückgängig gemacht werden. Die einzige Alternative zur Wiederherstellung der Daten ist ein Backup.
Die Funktionsweise von Ransomware ist besonders effektiv. Bei anderen Arten von Malware, die Daten zerstören oder entwenden, gibt es weitere Möglichkeiten der Wiederherstellung. Haben Sie kein Backup, ist die Bezahlung des Lösegelds meist der einzige Weg, die Daten wiederherzustellen. Es kommt auch vor, dass Unternehmen das Lösegeld zahlen, der Angreifer aber keinen Schlüssel sendet.
Wird die Ransomware aktiviert, durchsucht sie den lokalen und Netzwerkspeicher nach Dateien, um sie zu verschlüsseln. Sie sucht gezielt nach Dateien, die für das Unternehmen oder die Einzelperson besonders wichtig sind. Dies umfasst auch Backup-Dateien, mit denen Sie Ihre Daten wiederherstellen könnten.
Verschiedene Arten von Ransomware zielen auf verschiedene Dateiarten ab. Aber es gibt auch Dateiarten, die für alle interessant sind. Die meisten Arten von Ransomware suchen nach Microsoft Office Dateien, weil diese oft kritische Unternehmensinformationen enthalten. Die Ransomware konzentriert sich auf wichtige Dateien, um die Wahrscheinlichkeit zu erhöhen, dass das Lösegeld gezahlt wird.
Der Ursprung von Ransomware
Die ersten Fälle von Ransomware-Infektionen wurden zwischen 2005 und 2006 in Russland festgestellt. Einer der frühesten Berichte von Trend Micro über Ransomware beschrieb eine Variante, die bestimmte Dateien auf dem Computer des Opfers komprimierte und mit einem Passwort schützte.
Zusätzlich wurde eine Datei hinterlassen, die als Lösegeldforderung diente und das Opfer aufforderte, 300 US-Dollar im Austausch für seine Dateien zu zahlen. In der Anfangsphase dieser Bedrohung wurden häufig genutzte Dateiformate wie .DOC, .XLS, .JPG, .ZIP, .PDF und andere als Geiseln genommen. Später tauchten Varianten auf, die auch Mobiltelefone und sogar den Master Boot Record (MBR) von Computern infizieren konnten, wodurch das Betriebssystem nicht mehr startete.
Bis 2012 breitete sich Ransomware von Russland auf andere europäische Länder aus. Dies könnte auf das verstärkte Vorgehen gegen gefälschte Antivirenprogramme (FAKEAV) zurückzuführen sein, woraufhin Cyberkriminelle neue Methoden finden mussten, um weiterhin von ahnungslosen Opfern zu profitieren. Ransomware-Akteure entwickelten neue Taktiken zur Verbreitung der Bedrohung. Eine damals populäre Methode wurde durch Reveton eingeführt – dabei wurden Strafverfolgungsbehörden imitiert und den Opfern mit strafrechtlichen Konsequenzen gedroht. Gleichzeitig experimentierten Ransomware-Gruppen mit verschiedenen Zahlungsmethoden wie Ukash, paysafecard und MoneyPak, um ihre Spuren zu verschleiern.
Ende 2013 trat das bekannt gewordene „Crypto-Ransomware“ in den Vordergrund, angeführt von Varianten wie CryptoLocker. Diese Bedrohung verschlüsselte nicht nur Dateien, sondern begann auch damit, sie zu löschen, wenn das Opfer die Zahlung verweigerte. Zur Wiederherstellung der Dateien mussten Opfer unterschiedlich hohe Lösegeldbeträge in Form von Bitcoins zahlen, um den Entschlüsselungsschlüssel zu erhalten.
Seit der Einführung von Crypto-Ransomware ergreifen Cyberkriminelle zunehmend Maßnahmen, um effektiver Geld von Opfern – ob Privatpersonen oder Unternehmen jeglicher Größe – weltweit zu erpressen.
Wie funktioniert Ransomware?
Ransomware-Angriffe lassen sich in vier Hauptphasen unterteilen:
„erste Kompromittierung“, „interne Aktivitäten“, „Datenexfiltration“ und „Ausführung der Ransomware“.
Ab der Phase der „internen Aktivitäten“ kommen dabei Angriffsmethoden zum Einsatz, die jenen aus sogenannten „zielgerichteten Angriffen“ (Targeted Attacks) ähneln.
1. Erste Kompromittierung
Um ihre Ziele, also Datendiebstahl und die Infektion mit Ransomware, zu erreichen, verschaffen sich Angreifer zunächst Zugang zum internen Netzwerk.
Typische Einstiegsmethoden sind:
Ausnutzen von Schwachstellen in Netzwerksystemen (z. B. VPN)
Missbrauch unsicherer Passwörter bei Remote Desktop Protocol (RDP)
Phishing-E-Mails an Mitarbeitende, um Malware zu installieren
Diese Taktiken ermöglichen es Angreifern, unbemerkt in die Infrastruktur einer Organisation einzudringen.
2. Interne Aktivitäten
Nach erfolgreicher Infiltration nutzen Angreifer sogenannte Remote Access Tools (RATs), um Endgeräte fernzusteuern und sich maximale Zugriffsrechte zu verschaffen.
Um Entdeckung zu vermeiden, greifen sie oft auf legitime Tools zurück, die bereits im Unternehmen genutzt werden.
Beispiele:
Penetrationstest-Tools zur Schwachstellenerkennung
Cloud-Dienste wie Speicherplattformen zur Datenübertragung
Diese Methode wird als „Living off the Land“ bezeichnet – der Angreifer nutzt vorhandene Infrastruktur und fällt dadurch weniger auf.
Zunehmend setzen Angreifer auch Anti-EDR-Techniken ein, um moderne Endpoint-Detection-and-Response-Lösungen gezielt zu deaktivieren und unentdeckt zu bleiben.
3. Datenexfiltration
Nach Erlangung ausreichender Rechte durchsuchen Angreifer das Netzwerk gezielt nach sensiblen Daten, die sich für Erpressung durch Veröffentlichung eignen.
Die erbeuteten Dateien werden zentral gesammelt und anschließend auf Angreiferserver hochgeladen.
4. Ausführung der Ransomware
Nachdem die Daten erfolgreich exfiltriert wurden, wird die Ransomware im Netzwerk verteilt und aktiviert.
Vor dem Angriff wird oft die Sicherheitssoftware deaktiviert, um die Ausführung zu gewährleisten.
Mittels Gruppenrichtlinien wird die Ransomware im gesamten internen Netzwerk ausgerollt.
Nach der Verschlüsselung der Dateien erscheint auf den betroffenen Geräten eine Lösegeldforderung, um die Opfer zur Zahlung zu bewegen.
Arten von Ransomware
Leakware oder Doxware
Leakware, auch bekannt als Doxware, bringt Ransomware-Bedrohungen auf eine neue Ebene, indem Dateien nicht nur verschlüsselt werden, sondern auch sensible oder vertrauliche Daten veröffentlicht werden, wenn das Lösegeld nicht bezahlt wird. Im Gegensatz zu herkömmlicher Ransomware, bei der der Fokus darauf liegt, den Zugriff auf Daten durch Durchschaltung zu verhindern, nutzt Leakware die Angst der Menschen vor öffentlicher Exposition. Oft verwenden Hacker Leakware als Teil einer doppelten Erpressungsstrategie, was sowohl die Entschlüsselung als auch die Verhinderung von Datenlecks erfordert.
Mobile Ransomware
Da mobile Geräte zu einem zentralen Bestandteil privater und geschäftlicher Aktivitäten geworden sind, wurden sie zum Ziel von Ransomware-Angriffen. Mobile Ransomware verbreitet sich häufig über bösartige Apps oder Phishing-Nachrichten. Nach der Installation sperrt die Malware das Gerät, zeigt Lösegeldnachrichten an oder verschlüsselt lokalen Speicher, was verhindert, dass Benutzer auf ihre Apps, Fotos und Kontakte zugreifen können. In der Regel verlangen Hacker Zahlungen in Kryptowährung, um das Gerät zu entsperren.
Ransomware-as-a-Service (RaaS)
Ransomware as a Service (RaaS) ist ein Geschäftsmodell für Cyberkriminalität, das den Verkauf oder die Vermietung von Ransomware an Käufer umfasst, die als verbundene Unternehmen bezeichnet werden. RaaS kann als einer der Hauptgründe für die schnelle Verbreitung von Ransomware-Angriffen angerechnet werden, da es eine Vielzahl von Bedrohungsakteuren erleichtert hat – selbst diejenigen, die wenig technische Fähigkeiten und Wissen mit der Munition haben, Ransomware gegen ihre Ziele einzusetzen.
Scareware
Scareware verlässt sich auf psychologische Manipulation, um Opfern Geld zu erpressen. Oft wird es als Antivirensoftware oder Systemwarnung ausgegeben, die behaupten, dass das Gerät des Opfers mit Malware infiziert ist oder kritische Schwachstellen aufweist. Die Software verlangt dann eine Zahlung, um die nicht vorhandenen Probleme zu „beheben“. Obwohl Scareware Dateien nicht immer verschlüsselt, kann es Benutzer aus ihren Systemen aussperren oder sie mit dauerhaften Pop-up-Nachrichten bombardieren, bis eine Lösegeldzahlung erfolgt. Scareware setzt auf Angst und mangelndes technisches Wissen und ist damit ein effektives Tool für weniger technisch versierte Nutzer.
So schützt du dich vor Ransomware
Die beste Möglichkeit, sich vor Ransomware zu schützen, sind Backups. Lokal oder auf einem Netzlaufwerk gespeicherte Backup-Dateien sind angreifbar. Cloud-Speicher ist vor Netzwerk-Scans durch Ransomware geschützt und damit eine gute Lösung zur Wiederherstellung. Ausnahme: Sie erfassen Cloud-Speicher als lokales Laufwerk oder Unterordner.
Prävention ist das beste Mittel, um Schäden durch Ransomware zu vermeiden. Die meisten Angriffe beginnen, wenn Anwender die Software unbeabsichtigt direkt herunterladen oder versehentlich ein böswilliges Skript ausführen.
Zwei Möglichkeiten, die verhindern, dass Anwender Ransomware herunterladen, sind DNS-basiertes Content Filtering und E-Mail-Cybersicherheitslösungen mit intelligenten Quarantänefunktionen. DNS-basiertes Content Filtering verhindert, dass Anwender Internetseiten aufrufen, die auf der Sperrliste stehen. E-Mail-Filter stellen böswilligen Content und böswillige Anhänge unter Quarantäne, damit sie von einem Administrator überprüft werden können.
Zudem empfiehlt es sich, auf allen Geräten (einschließlich Mobilgeräten) immer Anti-Malware-Software mit Machine Learning und Verhaltensüberwachung einzusetzen. Eine gute Anti-Malware-Anwendung erkennt Ransomware, bevor sie auf den Speicher zugreifen und Dateien verschlüsseln kann. Für bestmögliche Effektivität muss Anti-Malware-Software immer über die neuesten Patches und Updates verfügen, damit sie die aktuellen Bedrohungen erkennt.
Die Auswirkungen von Ransomware auf Unternehmen
Weltweit werden Tausende von Anwendern zur Zielscheibe von Ransomware-Angriffen. In manchen Fällen kann die Ransomware sogar noch Probleme verursachen, nachdem sie vermeintlich unter Kontrolle ist. Anti-Malware-Programme erkennen viele ältere Versionen, aber Hacker entwickeln laufend neue, um nicht entdeckt zu werden.
Ein Beispiel: 2018 und 2019 deaktivierte die Ryuk-Ransomware die Windows-Systemwiederherstellung. Die Anwender konnten ihre Daten nicht mehr von einem früheren Restore-Punkt im Betriebssystem wiederherstellen. Ryuk nahm dabei Unternehmen ins Visier und verlangte mehrere hunderttausend Dollar Lösegeld.
CryptoLocker, WannaCry und Petya waren unterschiedliche Formen von Ransomware, die globale Infrastrukturen lahmlegten und von denen sogar Banken und Regierungsbehörden betroffen waren. Insbesondere WannaCry zielte auf Windows-Rechner ab und nutzte ein von der United States National Security Agency (NSA) entwickeltes Exploit, um offene Netzlaufwerke zu scannen und angreifbare Dateien zu verschlüsseln.
Anhaltende Ransomware-Bedrohungen sind unter anderem Gandcrab, SamSam, Zeppelin und REvil. Diese neueren Varianten stellen weiterhin gefährliche Malware dar, die Unternehmenssysteme zerstören kann.
Verbreitete Ransomware-Varianten
Es gibt zahlreiche Arten von Ransomware – etwa „Ryuk“, „MAZE“ oder „LockBit“. Diese werden häufig als sogenannte Ransomware-Familien bezeichnet. In der Regel steht hinter jeder Familie eine eigenständige Gruppe von Angreifern. Diese Gruppen weisen jeweils unterschiedliche Zielschemata und Angriffsstrategien auf.
Obwohl internationale Strafverfolgungsbehörden bei der Zerschlagung und Anklage bekannter Gruppen Fortschritte erzielt haben, nimmt die Bedrohung durch Ransomware weiterhin zu. Ein wesentlicher Grund hierfür ist das Aufkommen neuer Ransomware-Familien seit 2022.
Laut Trend Micros Monitoring von Leak-Seiten haben Gruppen wie RansomHub ihre Aktivitäten im Jahr 2024 stark ausgeweitet. Im Oktober 2024 machten die Top 10 der Ransomware-Gruppen bereits 90 % aller Veröffentlichungen auf Leak-Seiten aus.
Trend Micro stellt in seinem Blog detaillierte Informationen über die wichtigsten Ransomware-Familien und deren spezifische Angreiferprofile bereit.
Ein solches Verständnis der Angriffsarten hilft dabei, Risiken frühzeitig zu erkennen. Sollte Ihre Organisation Ziel eines Ransomware-Angriffs werden und die jeweilige Familie identifizierbar sein, können diese Informationen auch bei der Ursachenanalyse unterstützen.
Trend Micro Ransomware Protection
Vergangenes Jahr waren 83 % der Organisationen von mehreren Sicherheitsverletzungen betroffen, die jeweils 4,4 Millionen US-Dollar kosteten. Gleichzeitig führte die Reduzierung der Risikoexposition zu durchschnittlichen Einsparungen von 1,3 Millionen US-Dollar.
Das Cyber Risk Exposure Management, Teil von Trend Vision One™, Cybersicherheitsplattform für Unternehmen, senkt das Cyberrisiko drastisch. Es erlaubt kontinuierliche Erkennung, Analysen in Echtzeit und automatisierte Behebung in Cloud-, Hybrid-Cloud- und On-Premises-Umgebungen.
Anhaltende Gefahr durch Ransomware
Ransomware nimmt Unternehmen jeder Größe ins Visier und kann Ihre gesamte Organisation lähmen, falls Sie keine Backups haben. Wenn Sie verstehen, wie Ransomware funktioniert und welche Auswirkungen sie auf Ihr Unternehmen haben kann, können Sie sich besser schützen. Der beste Schutz vor einem Angriff besteht darin, die Anwender aufzuklären, auf allen Geräten Anti-Malware zu installieren und die Anwender davon abzuhalten, böswillige E-Mail-Nachrichten zu öffnen.
Hier können Sie die Trend Micro-Studie herunterladen
https://www.trendmicro.com/vinfo/de/security/news/cybercrime-and-digital-threats/the-future-of-ransomware
Verwandte Informationen über Ransomware
Trend Micro 2024 Midyear Cybersecurity Threat Report
Böswillige Akteure sind immer auf der Suche nach neuen Technologien, die sie missbrauchen können, nach bedeutenden Weltereignissen, die sie ausnutzen können, und nach schlecht verwalteten und anfälligen Anlagen, die sie kompromittieren können.
Wie Trend Micro Managed Detection and Response einen Play Ransomware-Angriff stoppen konnte
Mit Hilfe der Trend Micro Vision One Plattform konnte unser MDR-Team einen Play Ransomware-Angriff schnell identifizieren und eindämmen.
Weiterführende Forschung
Weiterführende Artikel