Was ist Ransomware?

1. Infektion

Der anfängliche Infektionsvektor kann variieren, aber zu den üblichen Methoden gehören:

• Phishing-E-Mails: Cyberkriminelle verwenden häufig Phishing-E-Mails mit bösartigen Anhängen oder Links. Diese E-Mails sind so gestaltet, dass sie legitim erscheinen, und können Benutzer zum Herunterladen von Malware verleiten.
• Ausnutzung von Schwachstellen: Angreifer nutzen bekannte Schwachstellen in Software und Betriebssystemen aus. Dies geschieht häufig durch Drive-by-Downloads oder kompromittierte Websites.
• Angriffe über das Remote Desktop Protocol (RDP): Schwache oder kompromittierte RDP-Anmeldeinformationen können Angreifern direkten Zugriff auf das System eines Opfers ermöglichen, so dass sie Ransomware einsetzen können.

2. Lieferung der Nutzlast

Sobald die Ransomware ausgeführt wird, fasst sie oft Fuß, indem sie Systemschwachstellen ausnutzt und zusätzliche bösartige Komponenten installiert. Dazu können gehören:

• Herunterladen zusätzlicher Payloads: Die ursprüngliche Malware kann zusätzliche Ransomware-Komponenten von einem Command-and-Control-Server (C2) herunterladen.
• Deaktivierung von Sicherheitsmaßnahmen: Einige Ransomware-Varianten versuchen, Antiviren-Software und andere Sicherheitsmaßnahmen zu deaktivieren, um nicht entdeckt zu werden.

3. Verschlüsselung

Die Ransomware durchsucht das infizierte System nach wertvollen Dateien und verschlüsselt sie mit starken kryptografischen Algorithmen. Zu den wichtigsten Aktionen in dieser Phase gehören:

• Identifizierung der Zieldateien: Die Ransomware zielt in der Regel auf eine breite Palette von Dateitypen ab, darunter Dokumente, Bilder, Datenbanken und Backups.
• Verschlüsselung von Dateien: Mit symmetrischer oder asymmetrischer Verschlüsselung verschlüsselt die Ransomware die identifizierten Dateien und macht sie für das Opfer unzugänglich.
• Löschen von Backups: Um die Wahrscheinlichkeit einer Lösegeldzahlung zu erhöhen, löschen einige Ransomware-Varianten lokale Backups und Schattenkopien.

4. Lösegeldforderung

Nach der Verschlüsselung zeigt die Ransomware eine Lösegeldforderung an und fordert eine Zahlung in Kryptowährung (in der Regel Bitcoin) im Austausch für den Entschlüsselungsschlüssel. Der Erpresserbrief enthält häufig folgende Informationen:

• Anweisungen für die Zahlung: Detaillierte Schritte für den Kauf und die Überweisung von Kryptowährungen.
• Drohungen und Fristen: Warnungen, dass sich das Lösegeld erhöht, wenn es nicht innerhalb eines bestimmten Zeitrahmens gezahlt wird, oder Drohungen, den Verschlüsselungsschlüssel dauerhaft zu löschen.

5. Entschlüsselung

Wenn das Lösegeld gezahlt wird, können die Angreifer einen Entschlüsselungsschlüssel zur Verfügung stellen (obwohl es keine Garantie dafür gibt). Wird das Lösegeld nicht gezahlt, verliert das Opfer möglicherweise dauerhaft den Zugriff auf seine Daten. Zu den wichtigsten Überlegungen gehören:

• Überprüfung der Zahlung: Die Angreifer überprüfen, ob das Lösegeld gezahlt wurde, bevor sie den Entschlüsselungsschlüssel bereitstellen.
• Entschlüsselungsprozess: Die Opfer verwenden das mitgelieferte Entschlüsselungstool oder den Schlüssel, um den Zugriff auf ihre verschlüsselten Dateien wiederherzustellen.

1. Regelmäßige Backups

Sichern Sie regelmäßig wichtige Daten und speichern Sie sie offline oder in einer sicheren Cloud-Umgebung. Stellen Sie sicher, dass die Backups nicht über das Netzwerk zugänglich sind, um zu verhindern, dass Ransomware sie ebenfalls verschlüsselt. Zu den bewährten Verfahren gehören:

• Automatisierte Backups: Verwenden Sie automatisierte Backup-Lösungen, um regelmäßige und konsistente Backups zu gewährleisten.
• Testen von Backups: Testen Sie regelmäßig die Wiederherstellung von Sicherungskopien, um die Integrität der Daten und die Fähigkeit zur Wiederherstellung im Falle eines Angriffs zu gewährleisten.

2. Systeme aktualisieren und patchen

Halten Sie Betriebssysteme, Software und Anwendungen mit den neuesten Sicherheits-Patches auf dem neuesten Stand, um Sicherheitslücken zu schließen, die Ransomware ausnutzen könnte. Zu den bewährten Praktiken gehören:

• Patch Management: Implementierung eines robusten patch management Verfahren zur Gewährleistung rechtzeitiger Aktualisierungen.
• Scannen auf Schwachstellen: Regelmäßiges Scannen der Systeme auf Schwachstellen und Festlegung von Prioritäten für das Patchen je nach Risiko.

3. Sicherheitssoftware verwenden

Setzen Sie seriöse Antiviren- und Anti-Malware-Lösungen ein, die Echtzeitschutz bieten und regelmäßig nach Bedrohungen suchen. Aktivieren Sie Funktionen wie E-Mail-Filterung und Web-Schutz. Zu den bewährten Verfahren gehören:

• Umfassende Abdeckung: Verwenden Sie eine Sicherheitssoftware, die Endgeräte, Netzwerke und Server abdeckt.
• Verhaltensbasierte Analyse: Setzen Sie Sicherheitslösungen ein, die Verhaltensanalysen nutzen, um Ransomware zu erkennen und zu blockieren.

4. Benutzer unterrichten

Führen Sie regelmäßige Schulungen durch, um die Mitarbeiter über die Gefahren von Phishing, Social Engineering und anderen gängigen Infektionswegen aufzuklären. Fördern Sie sichere Surfgewohnheiten und E-Mail-Hygiene. Zu den besten Praktiken gehören:

• Phishing-Simulationen: Führen Sie regelmäßig Phishing-Simulationen durch, um das Bewusstsein der Benutzer zu testen und zu verbessern.
• Schulungen zum Sicherheitsbewusstsein: Implementieren Sie fortlaufende Programme zur Sensibilisierung für Sicherheitsfragen, die die neuesten Bedrohungen und bewährte Verfahren abdecken.

5. Implementierung von Zugangskontrollen

Anwendung des Prinzips der geringsten Privilegien, um den Benutzerzugang zu sensiblen Daten und kritischen Systemen zu begrenzen. Verwenden Sie starke Authentifizierungsmethoden, wie z. B. die Multi-Faktor-Authentifizierung (MFA). Zu den besten Praktiken gehören:

• Rollenbasierte Zugriffskontrolle (RBAC): Implementieren Sie RBAC, um sicherzustellen, dass Benutzer nur Zugriff auf die Ressourcen haben, die sie benötigen.
• Starke Passwortrichtlinien: Setzen Sie strenge Passwortrichtlinien und regelmäßige Passwortaktualisierungen durch.

6. Netzsegmentierung

Segmentieren Sie Netzwerke, um die Ausbreitung von Ransomware innerhalb eines Unternehmens zu begrenzen. Implementieren Sie Firewalls und Intrusion Detection/Prevention Systeme (IDS/IPS), um den Netzwerkverkehr zu überwachen und zu kontrollieren. Zu den bewährten Verfahren gehören:

• Kritische Systeme isolieren: Trennen Sie kritische Systeme und sensible Daten vom Rest des Netzwerks, um die Auswirkungen eines Angriffs zu minimieren.
• Implementierung von VLANs: Verwenden Sie Virtual Local Area Networks (VLANs), um den Netzwerkverkehr zu segmentieren und Sicherheitsrichtlinien auf jedes Segment anzuwenden.

7. E-Mail-Sicherheit

Verwenden Sie E-Mail-Sicherheitslösungen, die Phishing-Versuche und bösartige Anhänge erkennen und blockieren können. Implementieren Sie Richtlinien, um verdächtige E-Mails automatisch unter Quarantäne zu stellen. Zu den besten Praktiken gehören:

• Advanced Schutz vor Bedrohungen (ATP): Nutzen Sie ATP-Lösungen, die mithilfe von maschinellem Lernen anspruchsvolle E-Mail-Bedrohungen erkennen und blockieren.
• Spam-Filter: Konfigurieren Sie Spam-Filter, um E-Mails aus unbekannten oder verdächtigen Quellen zu blockieren oder unter Quarantäne zu stellen.

8. Makros deaktivieren

Deaktivieren Sie Makros in Microsoft Office-Dokumenten standardmäßig, da sie ein gängiger Vektor für Ransomware-Infektionen sind. Aktivieren Sie sie nur bei Bedarf und stellen Sie sicher, dass sie aus vertrauenswürdigen Quellen stammen. Zu den besten Praktiken gehören:

• Makro-Richtlinien: Implementieren Sie Gruppenrichtlinien zur Verwaltung von Makroeinstellungen im gesamten Unternehmen.
• Benutzerschulung: Informieren Sie die Benutzer über die mit Makros verbundenen Risiken und darüber, wie sie potenziell bösartige Dokumente erkennen können.

1. Isolieren Sie die Infektion

Trennen Sie das infizierte Gerät vom Netzwerk, um die Ausbreitung der Ransomware zu verhindern. Schalten Sie Wi-Fi- und Bluetooth-Verbindungen aus. Zu den besten Praktiken gehören:

• Netzwerksegmentierung: Nutzen Sie die Netzwerksegmentierung, um betroffene Segmente schnell zu isolieren.
• Plan zur Reaktion auf Zwischenfälle: Verfügen Sie über einen vordefinierten Plan zur Reaktion auf einen Vorfall, der Schritte zur Isolierung infizierter Systeme enthält.

2. Bewerten Sie die Situation

Bestimmen Sie den Umfang der Infektion und identifizieren Sie den Typ der betroffenen Ransomware. Suchen Sie nach Erpresserbriefen und verschlüsselten Dateien. Zu den bewährten Praktiken gehören:

• Analyse des Vorfalls: Führen Sie eine gründliche Analyse durch, um das Ausmaß der Kompromittierung zu verstehen.
• Forensische Untersuchung: Beauftragen Sie Cybersicherheitsexperten mit der Durchführung einer forensischen Untersuchung, um den Angriffsvektor und das Ausmaß des Schadens zu ermitteln.

3. Den Vorfall melden

Benachrichtigen Sie die IT-Abteilung Ihres Unternehmens und melden Sie den Vorfall den Strafverfolgungsbehörden und den zuständigen Aufsichtsbehörden. Zu den bewährten Praktiken gehören:

• Interne Kommunikation: Informieren Sie die wichtigsten Interessengruppen innerhalb der Organisation über den Vorfall.
• Externe Berichterstattung: Melden Sie den Vorfall den Strafverfolgungsbehörden und Aufsichtsbehörden, wie es das Gesetz und die Branchenvorschriften verlangen.

4. Wiederherstellen aus Backups

Wenn Sie über zuverlässige Backups verfügen, stellen Sie Ihre Systeme und Daten anhand dieser Backups wieder her. Stellen Sie sicher, dass die Backups sauber und frei von Schadsoftware sind. Zu den bewährten Verfahren gehören:

• Validierung von Backups: Testen und validieren Sie Backups regelmäßig, um sicherzustellen, dass sie funktionsfähig und frei von Malware sind.
• Inkrementelle Backups: Verwenden Sie inkrementelle Backups, um den Datenverlust zu minimieren und die Wiederherstellungszeit zu verkürzen.

5. Entfernen Sie die Ransomware

Verwenden Sie Sicherheitssoftware, um die Ransomware von den infizierten Systemen zu entfernen. Stellen Sie sicher, dass alle Spuren der Malware beseitigt werden, um eine erneute Infektion zu verhindern. Zu den bewährten Praktiken gehören:

• Umfassendes Scannen: Führen Sie einen umfassenden Scan aller Systeme durch, um alle Reste von Malware zu erkennen und zu entfernen.
• Systemhärtung: Implementierung von Maßnahmen zur Systemhärtung, um alle Schwachstellen zu schließen, die möglicherweise ausgenutzt wurden.

6. Überprüfung nach einem Vorfall durchführen

Führen Sie nach der Behebung des Vorfalls eine gründliche Überprüfung durch, um Erkenntnisse zu gewinnen und Ihre Sicherheitslage zu verbessern. Zu den besten Praktiken gehören:

• Analyse der Grundursache: Führen Sie eine Ursachenanalyse durch, um festzustellen, wie die Ransomware in das Netzwerk eingedrungen ist.
• Verbesserungen der Sicherheit: Umsetzung von Sicherheitsverbesserungen auf der Grundlage der Ergebnisse der Überprüfung nach dem Vorfall.

1. Doppelte Erpressung

Ransomware-Gruppen wenden zunehmend eine Taktik an, die als doppelte Erpressung bekannt ist: Sie verschlüsseln nicht nur die Daten des Opfers, sondern stehlen sie auch und drohen, sie zu veröffentlichen, wenn das Lösegeld nicht gezahlt wird. Dies setzt die Opfer zusätzlich unter Druck, den Forderungen nachzukommen. Beispiele hierfür sind:

• Maze: Die Ransomware-Gruppe Maze machte diese Taktik populär, indem sie Daten exfiltrierte und drohte, sie öffentlich zu veröffentlichen, wenn das Lösegeld nicht gezahlt würde.
• Sodinokibi (REvil): Diese Gruppe hat sich ebenfalls der doppelten Erpressung verschrieben und erhöht den Einsatz für die Opfer durch die Drohung, gestohlene Daten zu versteigern.

2. Gezielte Angriffe

Anstatt wahllos Einzelpersonen anzugreifen, konzentrieren sich viele Ransomware-Gruppen jetzt auf hochwertige Ziele wie große Unternehmen, Regierungsbehörden und kritische Infrastruktur. Bei diesen gezielten Angriffen können höhere Lösegelder erzielt werden. Beispiele hierfür sind:

• Ryuk: Ryuk ist dafür bekannt, dass er es auf große Organisationen abgesehen hat, und wurde mit mehreren öffentlichkeitswirksamen Angriffen in Verbindung gebracht, bei denen Lösegelder in Höhe von mehreren Millionen Dollar gefordert wurden.
• DoppelPaymer: Diese Ransomware-Gruppe hat es auf Unternehmen abgesehen und droht damit, sensible Daten freizugeben, wenn das Lösegeld nicht gezahlt wird.

3. Ransomware-as-a-Service (RaaS)

Das RaaS-Modell ist weiterhin auf dem Vormarsch, senkt die Einstiegshürde für Cyberkriminelle und trägt zur Verbreitung von Ransomware-Angriffen bei. Die Entwickler stellen die Ransomware und die Infrastruktur zur Verfügung, während sich die Partner um die Verbreitung und Infektion kümmern. 

Beispiele hierfür sind:

• Satan: Eine benutzerfreundliche RaaS-Plattform, die es Partnern ermöglicht, mit minimalen technischen Kenntnissen Ransomware zu erstellen und zu verbreiten.
• Cerber: Cerber ist eine der am weitesten verbreiteten RaaS-Plattformen und wurde bei zahlreichen Angriffen weltweit eingesetzt.

Schlussfolgerung

Ransomware stellt eine erhebliche und sich ständig weiterentwickelnde Bedrohung für Privatpersonen, Unternehmen und kritische Infrastrukturen weltweit dar. Ein Verständnis der Geschichte, der Funktionsweise, der gängigen Typen und der Präventionsstrategien ist für eine effektive Verteidigung und Reaktion unerlässlich. Durch einen mehrschichtigen Ansatz für die Cybersicherheit, einschließlich regelmäßiger Backups, Software-Updates, Benutzerschulungen und solider Reaktionspläne auf Vorfälle, können Unternehmen ihr Risiko verringern und die Auswirkungen von Ransomware-Angriffen abmildern.

Da sich Ransomware ständig weiterentwickelt, ist es von entscheidender Bedeutung, über neue Trends informiert zu bleiben und die Sicherheitsverfahren entsprechend anzupassen. Die Zusammenarbeit zwischen dem öffentlichen und dem privaten Sektor sowie die internationale Kooperation sind ebenfalls von entscheidender Bedeutung im Kampf gegen Ransomware und andere Cyberbedrohungen. Durch Zusammenarbeit und Wissensaustausch können wir eine widerstandsfähigere und sicherere digitale Welt schaffen.