Ransomware
Ripper oder echt: die Gefahr bleibt
Ein aktueller Fall eines Ransomware-Angriffs lässt wieder einmal Zweifel aufkommen, ob der Datendiebstahl echt war oder nur „Ripper“ dahinterstecken. Leider ist das für die Opfer egal, denn der Schaden ist da, ob durch Rufmord oder Erpressung.
Save to Folio
Die Cybergruppe D1R verkündet auf einer so genannten Leak-Seite, ihr wäre es gelungen, über eine Lieferkette verschiedene Unternehmen anzugreifen und Daten zu stehlen, darunter auch der Konzern Bosch. Doch das als Beweis vorgelegte Datenfragment entpuppt sich als öffentlich zugängliches Handbuch. Und der angeblich gehackte Dienstleister findet keine Beweise einer Kompromittierung. Noch hält die Fassade, und es ist schwer einzuschätzen, ob D1R tatsächlich zu den gefährlichen Gruppen gehört oder doch eher zu den sogenannten „Rippern“.
Was ist ein Ripper?
Auch wenn man natürlich bei dem Begriff zuerst an den berühmten Londoner Mörder denkt, so stammt das hier verwendete „to rip“ eher aus dem US-amerikanischen Gangster-Slang und bedeutet so viel wie „abziehen“ oder eben „betrügen“.
Die spannende Frage bei modernen Rippern dabei ist, wer eigentlich ihr Opfer sein soll, und das ist oft gar nicht so einfach zu klären. Denn der Begriff bezeichnet nicht die „Guten“. Er wird in den dunklen Ecken des Darkwebs auf diejenigen angewendet, die andere Kriminelle betrügen. Verbrecher, die andere Verbrecher betrügen, ist erstmal eine schöne Vorstellung. Aber leider ist das auch nur die halbe Wahrheit.
Organisation im Darkweb
Beschäftigt man sich mit der Geschichte der wirtschaftlichen Entwicklung, fallen einem spannende Parallelen zum digitalen Untergrund auf. Für die frühen Kaufleute waren das Markt- und das Münzrecht entscheidend und sorgten für wirtschaftliches Wachstum. Heute bedeutet das digitale „Münzrecht“, wie man Kryptowährungen nennen könnte, ebenfalls, dass Kaufleute ohne Einmischung einer anderen Autorität ihre Geschäfte abwickeln können.
Sie tun das im eigenen, unkontrollierten „Markt“, dem durch das TOR-Netzwerk geschützten Darkweb. Zum erfolgreichen Boom fehlt nur ein eigenständiges Rechtssystem mit Schlichtungsverfahren und Strafen. Die einstige Marktgerichtsbarkeit finden wir entsprechend auch in Untergrundforen. Kommt es zum Streitfall, weil beispielsweise eine Partei einer anderen Betrug vorwirft, werden Schlichter, meist Administratoren der Foren, dazu aufgerufen, zu vermitteln. Ist die Schuld einer Partei erwiesen, wird sie in der Regel vom Marktplatz verwiesen -- und/oder am digitalen Pranger als Ripper bezeichnet.
Wie funktionieren Ripper?
Noch nie war es so leicht wie heute, in die Cyberkriminalität einzusteigen. Technische Werkzeuge und nicht zuletzt KI versprechen schnellen Zugang und schnelle Profitabilität. Entsprechend viele Neulinge gibt es, die sich bei alten Hasen Tipps und nicht selten Tools einkaufen. Aber auch diese Neulinge sind nicht so dumm, jedem dahergelaufenen Möchtegernkriminellen ein paar Bitcoins in den Rachen zu werfen. Dazu muss der erstmal beweisen, dass er tatsächlich ein „alter Hase“ ist.
Und hier kommen wir auf das eingangs geschilderte Thema zurück. Wir kennen D1R nur deshalb, weil sie vorgeblich ein großes Unternehmen wie Bosch bestohlen haben. Trotz ausbleibender Bestätigung des angeblichen Opfers bleibt eine gewisse Ungewissheit. Zur Wahrheit gehört nämlich leider auch, dass sich Firmen oft schwer damit tun zu beweisen, dass es eben nichts zu beweisen gibt.
Das bedeutet für Täter wie D1R nicht nur, dass sie andere Verbrecher abziehen können (wofür wir viel Glück wünschen möchten), sondern leider auch, dass sie die Reputation eines unschuldigen Opfers beschmutzen. Zudem ist ihr Name nachweislich im Zusammenhang mit solchen Angriffen gefallen. Ein weiteres Opfer kann womöglich gar nicht nachvollziehen, dass ihm keine Daten entwendet wurden. Gerade kleine und mittelständische Firmen haben oft nicht die Möglichkeit, eine Forensik zur Feststellung zu beauftragen. Diese sehen, dass auch große Firmen „Opfer der Gruppe waren“ und lassen sich davon beeindrucken.
Geld mit Fake-Daten machen
Damit zur Frage, wie Ripper ihr Geld machen. Die dafür bekannte Truppe „Mogilevich“ behauptete einst, mehrere größere Unternehmen mit Ransomware angegriffen zu haben. Sie verkauften im Darkweb Zugänge zu angeblichen Opfern und deren Datenbeständen, die laut Aussagen der Gruppe hochwertige Geheimnisse wie beispielsweise Source Code enthielten. In ihrer Exit-Nachricht – wenn Kriminelle verkünden, auszusteigen – behaupteten sie, damit genug Geld von Kriminellen erhalten zu haben. Für angeblich gestohlene Daten eines Drohnenbauers sogar in einer einzigen Überweisung 85.000 $. Auch beim „Bosch-Diebstahl“ sehen wir ähnliche Ansätze. Neben den vorgeblich gestohlenen „Kundendaten“ stehen auch nach Zeitungsberichten „Konstruktionspläne“ auf dem Menü.
Das wohl offensichtlichste Potenzial für die Ripper liegt im Verkauf dieser Daten. Man wirbt sowohl gewöhnliche Kriminelle (Kundendatenbank) als auch Wirtschaftsspione (Konstruktionspläne) an. Die Käufer werden etwas Zeit brauchen, bis sie herausfinden, dass es sich dabei höchstwahrscheinlich um von KI erzeugten Datenmüll handelt. Aber das ist nur die eine Umsatzquelle. Natürlich besteht auch eine gewisse Chance, dass das Opfer selbst nur sehr schlechte Möglichkeiten hat, den Wahrheitsgehalt der Täteraussagen zu überprüfen. Um seine eigene Reputation zu schützen, mag es die geforderte Erpressersumme deshalb zahlen.
Aktuelle Situation
Beinahe täglich liest man von größeren Datendiebstählen, seltener, dass auch die Verschlüsselung erfolgreich war (Ransomware). Das hat verschiedene Gründe. Zum einen schützen sich größere Unternehmen deutlich besser gegen die Verschlüsselungstrojaner, zum anderen stellen sich auch Täter auf die Situation ein. Die Sicherheitstechnik gegen Ransomware kennt Eskalationsstufen, die automatisiert Gegenmaßnahmen ergreifen. Selbst wenn menschliche Entscheider einbezogen werden, sorgt die entsprechende Alarmierungsstufe für rasches Handeln. Das reicht normalerweise, um die Verschlüsselung zu verhindern oder doch deutlich einzudämmen.
Bei Datendiebstählen sieht das anders aus. Hier ist nicht die Technik sondern die Entscheidungsfindung oft zu langsam. Entsprechend sind auch größere Unternehmen wieder häufiger betroffen. Viele halten sich darüber hinaus damit zurück, aufzuklären, was genau gestohlen wurde, und werden dafür öffentlich kritisiert. Das sorgt für die oben beschriebene Unsicherheit, ob das angebliche Opfer wirklich die Wahrheit sagt, sogar dann, wenn es den Vorfall dementiert. Für einen Ripper sind dies ideale Voraussetzungen. Die Täter müssen einfach nur behaupten, erfolgreich zu sein, und sich geschickt vermarkten. Selbst wenn sich hinterher herausstellt, dass es nur gelogen war, besteht eine hohe Chance, dass das in den Medien gar nicht mehr thematisiert wird. Ihre Opfer, egal ob durch Rufmord, Erpressung oder im kriminellen Umfeld, haben den Schaden.
Was kann man tun?
Das Hauptproblem für ehrliche Unternehmen ist, dass der Rufmord schnell real wird und wirtschaftliche Konsequenzen haben kann. Ein starkes Dementi muss deshalb von Anfang an deutlich sein. Für die meisten Unternehmen bedeutet das aber auch, dass sie sich Gewissheit darüber verschaffen müssen, dass keine relevanten Daten gestohlen wurden. Das ist ohne entsprechende Vorbereitung ein durchaus mühseliger Prozess, der oft mit starker Unsicherheit einhergeht. Wie im Bosch-Fall schickt der Täter vielleicht sogar Datenfragmente, die sein Eindringen beweisen sollen. Wie ordnet man zu, dass er die tatsächlich nur heruntergeladen oder sogar künstlich erzeugt hat?
Technische Lösungen, wie z.B. die Kategorisierung und Kontrolle über Zugänge zu wichtigen Daten bieten, müssen eingerichtet sein, bevor es zum Vorfall kommt. Selbst dann sind personenbezogene Daten in Unternehmen häufig nicht nach gleichen Maßstäben schützbar. Hier muss klar werden, ob Täter tatsächlich Zugang zu diesen Daten haben konnten oder nicht. Auch dabei unterstützt Sicherheitstechnologie, beispielsweise aus dem Themenbereich Zero Trust.
Über unsere Plattform VisionOne können diese Techniken koordiniert werden. Hat man das Risiko Datendiebstahl im Sicherheitskonzept bedacht, lassen sich Ripper schnell identifizieren. Versucht man allerdings erst im Nachhinein Datenabflüsse zu lokalisieren ist das oft eine Frage für Spezialisten. Incident Responder werden dann für teueres Geld engagiert und finden … nichts. Aber heißt das auch, dass nichts war?
Und wenn die Diebe doch echt sind?
Das grundsätzliche Problem, dass es zum Diebstahl kommen könnte, ist damit nicht gelöst. Datendiebstahlsangriffe ähneln im Vorgehen Ransomwarevorfällen, sind nur erheblich schneller und reißen selten die gleichen Sicherheitsschranken ein. Es dauert deshalb zu lange, bis ein mutmaßliches Opfer genug Informationen hat, um das Risiko korrekt einschätzen zu können. Nachdem man im Unternehmen nach wie vor weiterarbeiten kann und nur „Daten kopiert“ wurden, also nicht weg sind, scheint die Auswirkung eines solchen Vorfalls auch vernachlässigbar zu sein.
Aber Gesetzgeber, Partnerunternehmen und Öffentlichkeit werden zunehmend nervöser bei Cybervorfällen. Die Gesetzgebung NIS-2 fordert beispielsweise eine Beurteilung von Handelspartnern aus Sicht der Cybersicherheit. Gilt einer dabei als unzuverlässig, ist schnell die Konkurrenz mit im Boot. Fällt ein Unternehmen selbst unter NIS-2, läuft es nicht nur Gefahr, eine Strafe zu erhalten, sondern wird auch höchstwahrscheinlich in einem Audit darlegen müssen, ob es grundsätzlich in der Lage ist, die kritische Dienstleistung sicher zu erbringen.
Auf der anderen Seite ist die Abhilfe gegen diese Angriffe lediglich eine logische Weiterentwicklung der vorhandenen XDR-Technologie. Um die Entscheidungsfindung zu beschleunigen, müssen zeitaufwändige Arbeitsschritte automatisiert werden. Das kann durch eine KI vorgenommen werden. Diese kann auch Entscheidungen automatisch treffen, wenn das gewünscht wird, aber nicht die Verantwortung übernehmen.
Gegenmaßnahmen können beispielsweise bedeuten, im Verdachtsfall Zugriff auf schützenswerte Daten zu unterbinden, bis Klarheit über die Legitimität der Anforderung besteht. Der Plattformansatz von TrendAI bietet diverse Optionen, die Technik bedarfsgerecht zu optimieren, u. a. auch dadurch, dass Systeme anderer Hersteller mit angebunden werden können. Mit Red- bzw. Purple Teaming können wir Spezialisten stellen, die nicht nur den korrekten Umgang mit der Technik unter Echtbedingungen testen können, sondern auch, ob die zugehörigen Prozesse funktionieren.