Die Geschichte der Ransomware

Ransomware has evolved significantly since its inception in the late 1980s. Understanding its history helps in comprehending the current threat landscape and preparing for future developments.

Early Years (1980s-1990s)
The first known ransomware attack, the AIDS Trojan, also known as the PC Cyborg Virus, appeared in 1989. It was distributed via floppy disks and demanded a ransom payment to a post office box in Panama. The AIDS Trojan was rudimentary compared to modern ransomware, but it laid the groundwork for future developments.

Emergence of Crypto Ransomware (2000s)
The early 2000s saw the rise of more sophisticated ransomware variants like Gpcode, which used stronger encryption methods. The advent of anonymous payment systems such as Bitcoin further facilitated the growth of ransomware, allowing attackers to demand and receive payments with greater anonymity.

The Rise of Ransomware-as-a-Service (RaaS) (2010s)
By the 2010s, ransomware had become a significant threat with the introduction of RaaS models. This innovation allowed cybercriminals with limited technical skills to launch ransomware attacks by renting tools and infrastructure from developers who took a cut of the ransom payments. This democratization of ransomware led to a dramatic increase in attacks.

High-Profile Attacks (2010s-Present)
Notable attacks such as WannaCry in 2017, which affected over 200,000 computers in 150 countries, and NotPetya, which caused widespread disruption and significant financial losses, highlighted the destructive potential of ransomware. These attacks underscored the need for robust cybersecurity measures and global cooperation in combating cyber threats.

Wie Ransomware funktioniert

Ransomware verfolgt in der Regel einen mehrstufigen Prozess, um ihre Ziele zu erreichen. Das Verständnis dieser Phasen kann bei der Entwicklung wirksamer Präventions- und Reaktionsstrategien helfen.

Infection
The initial infection vector can vary, but common methods include:

• Phishing-E-Mails: Cyberkriminelle verwenden häufig Phishing-E-Mails mit bösartigen Anhängen oder Links. Diese E-Mails sind so gestaltet, dass sie legitim erscheinen, und können Benutzer zum Herunterladen von Malware verleiten.
• Ausnutzung von Schwachstellen: Angreifer nutzen bekannte Schwachstellen in Software und Betriebssystemen aus. Dies geschieht häufig durch Drive-by-Downloads oder kompromittierte Websites.
• Angriffe über das Remote Desktop Protocol (RDP): Schwache oder kompromittierte RDP-Anmeldeinformationen können Angreifern direkten Zugriff auf das System eines Opfers ermöglichen, so dass sie Ransomware einsetzen können.

Payload Delivery
Once the ransomware is executed, it often establishes a foothold by exploiting system vulnerabilities and installing additional malicious components. This may include:

• Herunterladen zusätzlicher Payloads: Die ursprüngliche Malware kann zusätzliche Ransomware-Komponenten von einem Command-and-Control-Server (C2) herunterladen.
• Deaktivierung von Sicherheitsmaßnahmen: Einige Ransomware-Varianten versuchen, Antiviren-Software und andere Sicherheitsmaßnahmen zu deaktivieren, um nicht entdeckt zu werden.

Encryption
The ransomware scans the infected system for valuable files and encrypts them using strong cryptographic algorithms. Key actions during this stage include:

• Identifizierung der Zieldateien: Die Ransomware zielt in der Regel auf eine breite Palette von Dateitypen ab, darunter Dokumente, Bilder, Datenbanken und Backups.
• Verschlüsselung von Dateien: Mit symmetrischer oder asymmetrischer Verschlüsselung verschlüsselt die Ransomware die identifizierten Dateien und macht sie für das Opfer unzugänglich.
• Löschen von Backups: Um die Wahrscheinlichkeit einer Lösegeldzahlung zu erhöhen, löschen einige Ransomware-Varianten lokale Backups und Schattenkopien.

Ransom Demand
After encryption, the ransomware displays a ransom note, demanding payment in cryptocurrency (typically Bitcoin) in exchange for the decryption key. The ransom note often includes:

• Anweisungen für die Zahlung: Detaillierte Schritte für den Kauf und die Überweisung von Kryptowährungen.
• Drohungen und Fristen: Warnungen, dass sich das Lösegeld erhöht, wenn es nicht innerhalb eines bestimmten Zeitrahmens gezahlt wird, oder Drohungen, den Verschlüsselungsschlüssel dauerhaft zu löschen.

Decryption
If the ransom is paid, the attackers may provide a decryption key (although there is no guarantee). If the ransom is not paid, the victim may lose access to their data permanently. Key considerations include:

• Überprüfung der Zahlung: Die Angreifer überprüfen, ob das Lösegeld gezahlt wurde, bevor sie den Entschlüsselungsschlüssel bereitstellen.
• Entschlüsselungsprozess: Die Opfer verwenden das mitgelieferte Entschlüsselungstool oder den Schlüssel, um den Zugriff auf ihre verschlüsselten Dateien wiederherzustellen.

Strategien zur Ransomware-Prävention

Die Verhinderung von Ransomware-Angriffen erfordert einen vielschichtigen Ansatz, der technische Lösungen, Benutzerschulungen und solide Sicherheitsrichtlinien umfasst. Hier sind einige wichtige Strategien:

Isolate the Infection
Disconnect the infected device from the network to prevent the ransomware from spreading. Turn off Wi-Fi and Bluetooth connections. Best practices include:

• Netzwerksegmentierung: Nutzen Sie die Netzwerksegmentierung, um betroffene Segmente schnell zu isolieren.
• Plan zur Reaktion auf Zwischenfälle: Verfügen Sie über einen vordefinierten Plan zur Reaktion auf einen Vorfall, der Schritte zur Isolierung infizierter Systeme enthält.

Assess the Situation
Determine the scope of the infection and identify the type of ransomware involved. Check for ransom notes and encrypted files. Best practices include:

• Analyse des Vorfalls: Führen Sie eine gründliche Analyse durch, um das Ausmaß der Kompromittierung zu verstehen.
• Forensische Untersuchung: Beauftragen Sie Cybersicherheitsexperten mit der Durchführung einer forensischen Untersuchung, um den Angriffsvektor und das Ausmaß des Schadens zu ermitteln.

Report the Incident
Notify your organization’s IT department and report the incident to law enforcement agencies and relevant regulatory bodies. Best practices include:

• Interne Kommunikation: Informieren Sie die wichtigsten Interessengruppen innerhalb der Organisation über den Vorfall.
• Externe Berichterstattung: Melden Sie den Vorfall den Strafverfolgungsbehörden und Aufsichtsbehörden, wie es das Gesetz und die Branchenvorschriften verlangen.

Restore from Backups
If you have reliable backups, restore your systems and data from these backups. Ensure that the backups are clean and free from malware. Best practices include:

• Validierung von Backups: Testen und validieren Sie Backups regelmäßig, um sicherzustellen, dass sie funktionsfähig und frei von Malware sind.
• Inkrementelle Backups: Verwenden Sie inkrementelle Backups, um den Datenverlust zu minimieren und die Wiederherstellungszeit zu verkürzen.

Remove the Ransomware
Use security software to remove the ransomware from the infected systems. Ensure that all traces of the malware are eliminated to prevent re-infection. Best practices include:

• Umfassendes Scannen: Führen Sie einen umfassenden Scan aller Systeme durch, um alle Reste von Malware zu erkennen und zu entfernen.
• Systemhärtung: Implementierung von Maßnahmen zur Systemhärtung, um alle Schwachstellen zu schließen, die möglicherweise ausgenutzt wurden.

Conduct a Post-Incident Review
After resolving the incident, conduct a thorough review to identify lessons learned and improve your security posture. Best practices include:

• Analyse der Grundursache: Führen Sie eine Ursachenanalyse durch, um festzustellen, wie die Ransomware in das Netzwerk eingedrungen ist.
• Verbesserungen der Sicherheit: Umsetzung von Sicherheitsverbesserungen auf der Grundlage der Ergebnisse der Überprüfung nach dem Vorfall.

Aufkommende Trends bei Ransomware

Ransomware entwickelt sich ständig weiter. Die Angreifer entwickeln neue Taktiken und Strategien, um ihre Effektivität und Rentabilität zu steigern. Das Verständnis dieser Trends kann Unternehmen helfen, der Bedrohung einen Schritt voraus zu sein.

Double Extortion
Ransomware groups increasingly use a tactic known as double extortion, where they not only encrypt the victim’s data but also steal it and threaten to publish it unless the ransom is paid. This adds additional pressure on victims to comply with the demands. Examples include:

• Maze: Die Ransomware-Gruppe Maze machte diese Taktik populär, indem sie Daten exfiltrierte und drohte, sie öffentlich zu veröffentlichen, wenn das Lösegeld nicht gezahlt würde.
• Sodinokibi (REvil): Diese Gruppe hat sich ebenfalls der doppelten Erpressung verschrieben und erhöht den Einsatz für die Opfer durch die Drohung, gestohlene Daten zu versteigern.

Targeted Attacks
Rather than indiscriminately targeting individuals, many ransomware groups now focus on high-value targets such as large enterprises, government agencies, and critical infrastructure. These targeted attacks can yield higher ransoms. Examples include:

• Ryuk: Ryuk ist dafür bekannt, dass er es auf große Organisationen abgesehen hat, und wurde mit mehreren öffentlichkeitswirksamen Angriffen in Verbindung gebracht, bei denen Lösegelder in Höhe von mehreren Millionen Dollar gefordert wurden.
  
• DoppelPaymer: Diese Ransomware-Gruppe hat es auf Unternehmen abgesehen und droht damit, sensible Daten freizugeben, wenn das Lösegeld nicht gezahlt wird.

Ransomware-as-a-Service (RaaS)
The RaaS model continues to thrive, lowering the barrier to entry for cybercriminals and contributing to the proliferation of ransomware attacks. Developers provide the ransomware and infrastructure, while affiliates handle distribution and infections. 

Examples include:

• Satan: Eine benutzerfreundliche RaaS-Plattform, die es Partnern ermöglicht, mit minimalen technischen Kenntnissen Ransomware zu erstellen und zu verbreiten.
• Cerber: Cerber ist eine der am weitesten verbreiteten RaaS-Plattformen und wurde bei zahlreichen Angriffen weltweit eingesetzt.

Ausgewählte Ressourcen

• Was ist endpoint detection and response (EDR)?
• Was bedeutet Managed Detection and Response (MDR)?