Das amerikanische Federal Bureau of Investigation (FBI) gab am Montag die Zerschlagung der Online-Infrastruktur einer aufkommenden Ransomware-Gruppe namens Dispossessor (auch bekannt als Radar) bekannt.
Die Bemühungen führten zur Schließung von drei Servern in den USA, drei Servern im Vereinigten Königreich, 18 Servern in Deutschland, acht kriminellen Domains in den USA sowie einer kriminellen Domain in Deutschland. Dispossessor wird von Einzelpersonen unter dem Online-Pseudonym “Brain” geleitet.
“Seit ihrer Gründung im August 2023 hat sich Radar/Dispossessor schnell zu einer international wirkenden Ransomware-Gruppe entwickelt, die kleine und mittelständische Unternehmen und Organisationen aus den Bereichen Produktion, Entwicklung, Bildung, Gesundheitswesen, Finanzdienstleistungen und Transport attackiert und ins Visier nimmt”, sagte das FBI in einer Erklärung.
Bis zu 43 Unternehmen wurden als Opfer von Dispossessor-Angriffen identifiziert, darunter solche aus Argentinien, Australien, Belgien, Brasilien, Kanada, Kroatien, Deutschland, Honduras, Indien, Peru, Polen, den V.A.E., dem Vereinigten Königreich und den USA.
Dispossessor trat erstmals im August 2023 als Ransomware-as-a-Service (RaaS)-Gruppe auf und folgt dem gleichen Dual-Erpressungsmodell, das von anderen E-Kriminalitätsbanden entwickelt wurde. Solche Angriffe funktionieren durch das Exfiltrieren von Opferdaten, um sie zusätzlich zu einer Verschlüsselung ihrer Systeme zu erpressen. Nutzer, die sich weigern zu zahlen, werden mit der Veröffentlichung ihrer Daten bedroht.
Beobachtete Angriffsketten der Täter nutzten Systeme mit Sicherheitslücken oder schwachen Passwörtern als Einstiegspunkt, um Ziele zu kompromittieren und erhöhten Zugang zu erlangen, um ihre Daten hinter Verschlüsselungssperren zu sperren.
“Nachdem ein Unternehmen angegriffen wurde, wenn sie nicht mit dem kriminellen Akteur in Kontakt getreten sind, hat die Gruppe dann aktiv andere in dem betroffenen Unternehmen kontaktiert, entweder per E-Mail oder Telefon”, so das FBI.
“Die E-Mails enthielten auch Links zu Videoplattformen, auf denen die zuvor gestohlenen Dateien präsentiert wurden. Dies geschah immer mit dem Ziel, den Erpressungsdruck zu erhöhen und die Zahlungsbereitschaft zu steigern.”
Zuvor hatte das Cybersecurity-Unternehmen SentinelOne festgestellt, dass die Dispossessor-Gruppe bereits ausgelaufene Daten zum Download und Verkauf angeboten hatte, indem sie “Daten, die bereits mit anderen Operationen in Verbindung standen, erneut veröffentlichte, wobei Beispiele von Cl0p, Hunters International und 8Base reichten”.
Die Häufigkeit solcher Abschaltungen ist ein weiterer Hinweis darauf, dass Strafverfolgungsbehörden weltweit ihre Bemühungen verstärken, der hartnäckigen Ransomware-Plage entgegenzuwirken, auch wenn die Täter Wege finden, sich in der sich ständig verändernden Landschaft weiterzuentwickeln und zu gedeihen.
Dazu gehört auch eine Zunahme von Angriffen, die durch Auftragnehmer und Dienstleister ausgeführt werden, was zeigt, wie Täter vertrauenswürdige Beziehungen zu ihrem Vorteil nutzen, da “dieser Ansatz groß angelegte Angriffe mit weniger Aufwand erleichtert, oft unentdeckt, bis Datenlecks oder verschlüsselte Daten entdeckt werden”.
Daten, die von Palo Alto Networks Unit 42 von Leckseiten gesammelt wurden, zeigen, dass die Branchen, die im ersten Halbjahr 2024 am stärksten von Ransomware betroffen waren, die Fertigung (16,4%), das Gesundheitswesen (9,6%) und der Bau (9,4%) waren.
Einige der am meisten betroffenen Länder während dieses Zeitraums waren die USA, Kanada, das Vereinigte Königreich, Deutschland, Italien, Frankreich, Spanien, Brasilien, Australien und Belgien.
“Neu bekannt gewordene Sicherheitslücken trieben in erster Linie die Ransomware-Aktivitäten voran, da Angreifer schnell diese Möglichkeiten ausnutzten”, so das Unternehmen. “Täter zielen regelmäßig auf Schwachstellen ab, um auf Opfernnetzwerke zuzugreifen, Privilegien zu erhöhen und lateral in kompromittierten Umgebungen zu agieren.”
Eine bemerkenswerte Entwicklung ist das Auftauchen neuer (oder überarbeiteter) Ransomware-Gruppen, die 21 der insgesamt 68 einzigartigen Gruppen mit Erpressungsversuchen ausmachten, sowie die verstärkte Ausrichtung auf kleinere Organisationen, so Rapid7.
“Dies könnte aus vielen Gründen geschehen, nicht zuletzt, weil diese kleineren Organisationen viele der gleichen Daten enthalten, auf die Täter abzielen, aber oft weniger ausgereifte Sicherheitsvorkehrungen haben”, so das Unternehmen.
Ein weiterer wichtiger Aspekt ist die Professionalisierung der RaaS-Geschäftsmodelle. Ransomware-Gruppen sind nicht nur anspruchsvoller, sondern skalieren ihre Operationen immer mehr und ähneln legitimen Unternehmensstrukturen.
“Sie haben ihre eigenen Marktplätze, verkaufen ihre eigenen Produkte und haben in einigen Fällen einen 24/7-Support”, so Rapid7. “Sie scheinen auch ein Ökosystem der Zusammenarbeit und Konsolidierung bei der Art von Ransomware zu schaffen, die sie einsetzen.”
Haben Sie diesen Artikel interessant gefunden? Folgen Sie uns auf Twitter und LinkedIn, um mehr exklusive Inhalte zu lesen, die wir veröffentlichen.
Quelle: https://ift.tt/ZxjCslq
