Ransomware: Bedrohungen, Prävention und Schutzmaßnahmen

Berühmte Beispiele von Ransomware

Immer wieder kommen einzelne Ransomware-Gruppen und Ihre Angriffe in die Schlagzeilen. Über ein paar der berühmtesten Fälle berichten wir hier. Mehr Informationen erhalten Sie in unserem Blogbeitrag mit noch mehr Ransomware-Beispielen.

WannaCry

Einer der berühmtesten Fälle von Ransomware war der WannaCry-Angriff im Mai 2017. Über 200.000 Computer in 150 Ländern waren betroffen. Zu den Geschädigten gehörten Firmen wie FedEx, Nissan und der britische nationale Gesundheitsdienst (NHS).

WannaCry konnte sich durch eine Sicherheitslücke namens „EternalBlue“ auf älteren, ungepatchten Windows-Rechnern verbreiten und hat sich rasend schnell ausgebreitet. Sicherheitsexperten konnten den Virus schnell deaktivieren, aber viele betroffene Computer waren bereits verschlüsselt und blieben unbrauchbar, bis das Lösegeld bezahlt wurde. Weniger als 70.000 Dollar Lösegeld wurden gezahlt – es ist jedoch kein Fall bekannt, in dem die Daten nach der Zahlung wieder freigegeben wurden.

Petya & Not Petya

Im Juni 2017 breitete sich eine neue Ransomware aus, die starke Ähnlichkeiten mit der bereits bekannten Petya-Ransomware aufwies. Aufgrund einiger wesentlicher Unterschiede wurde sie jedoch von Sicherheitsexperten als NotPetya bezeichnet. Besonders betroffen war die Ukraine, doch auch weltweit infizierte die Schadsoftware mindestens 2.000 Organisationen.

Petya griff gezielt die Master File Table (MFT) an, wodurch das gesamte Dateisystem eines Computers unbrauchbar wurde. NotPetya ging noch einen Schritt weiter: Sie verschlüsselte nicht nur die MFT, sondern die gesamte Festplatte. Dadurch wurden die betroffenen Systeme nahezu unrettbar zerstört, selbst wenn das Lösegeld gezahlt wurde.

Ein entscheidender Unterschied zwischen beiden Versionen lag in ihrer Verbreitung:

• Petya wurde in der Regel über Phishing-E-Mails verbreitet, die einen infizierten Anhang enthielten.

• NotPetya nutzte hingegen die EternalBlue-Sicherheitslücke (CVE-2017-0144) – dieselbe Schwachstelle, die bereits im Mai 2017 von der WannaCry-Ransomware ausgenutzt wurde. Dadurch konnte sich der Schädling eigenständig in Netzwerken ausbreiten, ohne dass Nutzer aktiv dazu beitrugen.

Obwohl Microsoft bereits im März 2017 einen Patch für die EternalBlue-Lücke veröffentlicht hatte, versäumten es viele Unternehmen, ihre Systeme zu aktualisieren. Dies ermöglichte NotPetya eine unkontrollierte, rasend schnelle Verbreitung, die erhebliche Schäden verursachte – sowohl finanziell als auch infrastrukturell.

LockBit

LockBit ist eine besonders aggressive Form von Ransomware, die sich gezielt gegen große Organisationen richtet, die durch Betriebsstörungen wirtschaftlich stark unter Druck gesetzt werde. LockBit gehört zur Kategorie der Krypto-Ransomware, die Dateien verschlüsselt und erst nach Zahlung eines Lösegelds wieder freigibt.

Die ersten bekannten LockBit-Angriffe wurden im September 2019 entdeckt. Anfangs wurde sie als „.abcd virus“ bezeichnet, da betroffene Dateien mit dieser Erweiterung versehen wurden. Ihre Hauptziele waren zunächst Unternehmen in den USA, China, Indien, Indonesien und der Ukraine, aber auch europäische Länder wie Frankreich, Großbritannien und Deutschland wurden Opfer der Attacken.

Die Täter wählen gezielt Unternehmen aus, die in kritischen Sektoren wie Gesundheitswesen oder Finanzen tätig sind und über die finanziellen Mittel verfügen, hohe Lösegelder zu zahlen. Interessanterweise scheinen LockBit-Angriffe gezielt russische und GUS-Staaten zu meiden, vermutlich um Strafverfolgung in diesen Regionen zu entgehen. LockBit operiert nach dem Ransomware-as-a-Service (RaaS)-Modell.

Die Lösegeldzahlungen werden dann zwischen dem LockBit-Entwicklerteam und den Angreifern aufgeteilt – letztere können dabei bis zu 75 % der Gewinne einstreichen.

REvil

REvil, auch bekannt als Sodinokibi, war eine der gefährlichsten und berüchtigtsten Ransomware-Gruppen der letzten Jahre. Die Gruppe agierte als Black-Hat-Hacker-Kollektiv und bot ihre Schadsoftware im Rahmen eines Ransomware-as-a-Service (RaaS)-Modells an. REvil entwickelte den Trojaner Sodinokibi, eine fortschrittliche Form von Ransomware, die für verschiedene groß angelegte Cyberangriffe verwendet wurde. Eine besonders gefährliche Variante, Sodinokibi.N, wurde für einen Angriff im Juli 2021 genutzt. Darüber hinaus verbesserte REvil die bereits existierende Erpressungssoftware GandCrab, wodurch ihre Angriffe noch effektiver wurden.

Bekannte Angriffe von REvil:

• März 2021: Der taiwanische Hardware- und Halbleiterhersteller Asus wurde Opfer eines REvil-Angriffs. Die Gruppe infizierte das interne Verwaltungsnetzwerk mit einem Trojaner und verschlüsselte zahlreiche Dateien. Die Täter forderten 50 Millionen Dollar für die Entschlüsselung.

• Juli 2021: Nach einem Angriff auf die VSA-Server des US-Softwareunternehmens Kaseya wurde REvil als Hauptverdächtige identifiziert. Drei Tage später veröffentlichte die Gruppe ein Bekennerschreiben mit einer Forderung über 70 Millionen US-Dollar. Auf unserem Blog haben wir über den Angriff auf Kaseya berichtet.

Obwohl im Jahr 2022 zunächst angenommen wurde, dass REvil nicht mehr aktiv sei, tauchte im Juli 2022 erneut ein Opfer auf ihrer Website auf – ein Zeichen dafür, dass die Gruppe weiterhin operierte.

8Base

Die 8Base-Ransomware zählt zu den besonders aggressiven Formen von Cybererpressung und nutzt eine doppelte Erpressungsstrategie: Sie verschlüsselt Daten und stiehlt sensible Informationen, um den Druck auf die Opfer zu erhöhen.

8Base verbreitet sich vor allem über Phishing-E-Mails oder über Initial Access Broker – Cyberkriminelle, die gestohlene Zugangsdaten im Darknet verkaufen. Diese Zugangsdaten stammen meist aus Phishing-Angriffen, kompromittierten Anmeldeinformationen oder durch das Ausnutzen von Schwachstellen in Unternehmensnetzwerken. Mehr über die Funktionsweise von 8Base erfahren Sie auf unserem Blog.

Seit ihrer ersten Entdeckung hat die 8Base-Ransomware zahlreiche Unternehmen und Organisationen weltweit angegriffen. Einige der bemerkenswertesten Fälle sind:

• August 2023: Angriff auf mittelständische Unternehmen. 8Base konzentrierte sich vor allem auf KMUs aus verschiedenen Branchen wie Finanzen, Bauwesen und IT-Dienstleistungen. Besonders betroffen waren Firmen in den USA und Europa, die in kurzer Zeit massive Datenverluste erlitten.

• September 2023: Angriff auf die Gesundheitsbranche. In mehreren Berichten wurde bestätigt, dass Gesundheitseinrichtungen und medizinische Labore ins Visier genommen wurden. Die Angreifer forderten hohe Lösegeldsummen und drohten mit der Veröffentlichung sensibler Patientendaten.

• Oktober 2023: Angriff auf eine US-amerikanische Stadtverwaltung. Eine kommunale Behörde in den USA wurde Ziel eines koordinierten Angriffs. Die IT-Systeme wurden verschlüsselt, und wichtige Bürgerdaten waren in Gefahr. Die Stadtverwaltung sah sich gezwungen, Notfallmaßnahmen einzuleiten, um den Schaden zu begrenzen.

Clop

Die Clop-Ransomware (oft auch „Cl0p“ geschrieben) zählt zu den gefährlichsten Ransomware-Familien der letzten Jahre. Sie ist berüchtigt für Angriffe auf hochkarätige Unternehmen und Organisationen weltweit und verwendet mehrstufige Erpressungstaktiken, die zu enormen Lösegeldzahlungen geführt haben.

Clop hat in den letzten Jahren massive Schäden verursacht. Einige der bekanntesten Attacken umfassen:

• November 2021: Die Hackergruppe soll bis zu 500 Millionen US-Dollar durch Erpressung eingenommen haben.

• 2023: Clop nutzte eine Zero-Day-Schwachstelle in der MOVEit-Transfer-Software, um mehrere US-Regierungsbehörden und Unternehmen weltweit zu infiltrieren.

Die umfassende Lösung von Eye Security gewährleistet einen einheitlichen Cybersicherheitsansatz, der einfach und kostengünstig zu verwalten ist. Setzen Sie sich mit uns in Verbindung, um mehr zu erfahren!