GandCrab Ransomware

Es werden immer raffiniertere und schädlichere Ransomware-Angriffe kommen

Die belarussischen Strafverfolgungsbehörden haben einen 31-jährigen Mann festgenommen, der mutmaßlich hinter der GandCrab-Ransomware steckt und zwischen 2017 und 2018 über 1000 Opfer erpresst hat. Der Hacker forderte von seinen Opfern Bitcoin- Teilbeträge zwischen 400 und 1500 US-Dollar. Da Bitcoin-Transaktionen online weitgehend nicht nachverfolgbar sind, eigneten sie sich gut für betrügerische Zahlungen. Der Hacker griff seine Opfer an, indem er Millionen von Phishing- E-Mails verschickte . Die Ransomware-Angriffe beschränkten sich nicht nur auf Belarus. Der Hacker infizierte auch Systeme in den USA, Großbritannien, der Ukraine, Frankreich, Italien und Russland. Die Behörden vermuten, dass es sich bei dem Hacker um einen professionellen Cyberkriminellen handelt, der seinen Lebensunterhalt ausschließlich mit dem Hacken von Privatpersonen und Unternehmen verdiente. Er nutzte nicht nur die GandCrab-Ransomware, sondern entwickelte und verkaufte auch Schadsoftware an Käufer in Untergrundforen.

Was ist GandCrab?

Das Internet hat die Entwicklung zahlreicher „as-a-Service“-Produkte ermöglicht, darunter Software as a Service (SaaS) , Infrastructure as a Service (IaaS) und Platform as a Service (PaaS) . Bekannte Beispiele für „as-a-Service“-Produkte sind Salesforce, Slack und Microsoft Office 365. Auch die Hacker-Community hat das „as-a-Service“-Modell für sich entdeckt. In Untergrundforen des Darknets werden Hacking-Tools, Zugangsdaten und Hacking-Tipps gehandelt. GandCrab ist ein typisches Beispiel für dieses Modell. Es wird als Ransomware-as-a-Service (RaaS) bezeichnet und beseitigt die Hürde der Entwicklung, Bereitstellung und des Betriebs eigener Hacking-Tools. Die Betreiber von GandCrab übernehmen den Großteil der Arbeit. Sie erheben Gebühren, typischerweise 30 %, analog zu den Gebühren von Apple und Google auf ihren jeweiligen SaaS-Marktplätzen.

Die Macher von GandCrab stellten ihr RaaS-Angebot 2019 ein und prahlten damit, dass ihre „Partner“ über 2 Milliarden Dollar und die Betreiber selbst Hunderte Millionen Dollar eingenommen hätten. Die Macher von GandCrab veröffentlichten folgende Erklärung zu den Gründen für die Schließung: 

„In einem Jahr haben die Menschen bei uns mehr als zwei Milliarden Dollar verdient. […] Aber […] alles Gute hat ein Ende. Wir gehen in den wohlverdienten Ruhestand. Wir haben bewiesen, dass man für böse Taten keine Vergeltung erfährt.“

REvil und MAZE Ransomware

Sophos geht davon aus, dass die GandCrab-Hacker nicht in Rente gegangen sind, sondern weiterhin neue, noch verheerendere Ransomware-Dienste entwickeln. Traditionell verschlüsselt Ransomware Dateien und beeinträchtigt so die Datenverfügbarkeit. Dank zuverlässiger Backups konnten Unternehmen die Erpressungsforderungen jedoch ignorieren und ihre Dateien wiederherstellen. Experten vermuten, dass die GandCrab-Autoren ihre Aktivitäten eingestellt haben, um eine neue Ransomware zu entwickeln, die auf die Vertraulichkeit von Daten abzielt. CyberHoot berichtete bereits im April dieses Jahres über eine gefährlichere Ransomware namens MAZE . MAZE exportiert kritische Unternehmensdaten und droht, diese im Internet zu veröffentlichen. Auch Sophos argumentiert, dass die GandCrab-Autoren die REvil-Ransomware entwickelt und veröffentlicht haben, um dasselbe zu erreichen. Im Juni 2020 wurde GSMLAW von dieser neuen REvil-Ransomware angegriffen, die drohte, persönliche Informationen über Prominente und bekannte Organisationen wie Mariah Carey, LeBron James, Nicki Minaj, MTV und Universal zu versteigern.

Die Ransomware-Angriffe REvil und MAZE stellen eine deutliche Eskalation der Bedrohungen für Unternehmen durch Ransomware dar. Backups bieten keinen Schutz mehr vor diesen Angriffen. Unternehmen benötigen einen neuen Ansatz zum Schutz. CyberHoot argumentiert, dass Unternehmen einen Ansatz benötigen, der das Infektionsrisiko von vornherein reduziert. 

Was ist zu tun?

Der beste Schutz vor den meisten Cybersicherheitsbedrohungen besteht darin, Mitarbeiter und Kunden zu schulen und ihr Bewusstsein dafür zu schärfen. Colin Bastable, CEO von Lucy Security, kommentierte den jüngsten Ransomware-Angriff auf Garmin wie folgt :

„Die gesamte Sicherheitstechnologie der Welt wird vor entschlossenen Angreifern nicht schützen. 97 % der Verluste sind auf Social-Engineering-Angriffe zurückzuführen und über 90 % werden per E-Mail initiiert.“

Angesichts dieser Statistiken sollte der erste Schritt zur Sicherung Ihres Unternehmens offensichtlich sein: Schulen Sie Ihre Benutzer. 

Ransomware-Angriffe werden immer häufiger, raffinierter und schwerwiegender und zwingen immer mehr Unternehmen zur Zahlung von Lösegeld. Solange Unternehmen weiterhin Lösegeld zahlen, werden Hacker weiterhin verheerendere Angriffe entwickeln. CyberHoot unterstützt Unternehmen bei der Schulung ihrer Mitarbeiter und reduziert die Wahrscheinlichkeit solcher Ransomware-Infektionen.

Führen Sie zusätzlich zum CyberHoot-Sensibilisierungstraining diese zusätzlichen Maßnahmen durch, um Ihr Unternehmen zu schützen und die Wahrscheinlichkeit zu verringern, Opfer dieses allzu häufigen Angriffsvektors zu werden:

• Adoptieren Zwei-Faktor-Authentifizierung auf alle kritischen Internetdienste
• Befolgen Sie die 3-2-1-Sicherungsmethode zur Sicherung all Ihrer kritischen und sensiblen Daten
• Phishing-Test für Mitarbeiter um sie auf Trab zu halten und jede E-Mail zu überprüfen
• Haben Sie eine dokumentierte und getestete Business Continuity- und Disaster Recovery-Plan (BCDR)
• Mitarbeiter verwalten mit Cybersicherheitsrichtlinien

Quellen:

GrandCrab Ransomware – Sophos

REvil-Informationsauktionen – Sophos

Zusätzliche Lektüre:

Garmin-Ransomware-Angriff

Wichtige Twitter-Konten gehackt

MAZE-Ransomware: Dreifache Bedrohung für die Datensicherheit

Um mehr über Ransomware zu erfahren, sehen Sie sich dieses kurze 3-minütige Video an:

https://www.youtube.com/watch?v=0WrdL1TDy6Y