Was Unternehmen über Ransomware-as-a-Service wissen müssen

Das RaaS-Geschäft hat sich in den letzten Jahren stark professionalisiert und wurde zum beliebten Erfolgsmodell in der Cybercrime-Szene. Aber auch wenn die Angreifer organisiert und hochprofessionell vorgehen, können Unternehmen sich gut vor Ransomware-Angriffen schützen. Der wichtigste Faktor bei der Abwehr von Cyber-Bedrohungen ist ein proaktiver Ansatz mit präventiven Maßnahmen.

Ransomware-as-a-Service (RaaS) hat sich in den letzten Jahren zu einem echten Geschäftsmodell mit hochprofessionalisierten Akteuren entwickelt, und das nicht zuletzt, weil sich die mögliche Angriffsfläche für Cyberkriminelle deutlich vergrößert hat. Nach Schätzungen sind im Jahr 2020 64 Prozent aller Ransomware-Angriffe mit dem RaaS-Ansatz durchgeführt worden. Mit dem Boom von Remote Work und Homeoffice stieg unter anderem auch die Zahl der Geräte, die außerhalb der geschützten Unternehmensperimeter zum Einsatz kommt. Zudem werden aufgrund des Wechsels zu cloudbasierten Diensten und Infrastrukturen die IT-Landschaften komplexer und sind damit schwieriger abzusichern. Angreifer brauchen nur eine einzige Schwachstelle finden; Unternehmen müssen alle Eventualitäten absichern und mit den neuesten Angriffsstrategien schritthalten.

In der IT werden Produkte mittlerweile vor allem als Services angeboten, wie Platform-as-a-Service (PaaS) oder Infrastructure-as-a-Service (IaaS). Diese bestehen aus einer Vielzahl von Unterservices, die im Sinne der Arbeitsteilung und Professionalisierung wiederum von unterschiedlichen Anbietern zur Verfügung gestellt werden – ein erfolgreiches Konzept, das sich auch Cyberkriminelle zu Nutze machen. Dabei liefern unterschiedliche Angreifergruppen die einzelnen Teile des gesamten End-to-End-Ransomware-Services. Diese Ransomware-Service-Blöcke sind gut beschrieben und können leicht in verschiedenen Qualitätsstufen erworben werden.

RaaS ist ein professionelles Business

„Das RaaS-Business hat sich in den letzten Jahren extrem professionalisiert: Die kriminellen Anbieter liefern unterschiedlichste Angriffs-Tools und einzelne Angriffschritte als Services und legen dabei großen Wert auf Service. Die Tools werden zusammen mit Anleitungen für die Durchführung von Angriffen, bewährten Verfahren, Lösegeldstrategien und sogar einem IT-Helpdesk angeboten“, so Dr. Sebastian Schmerl, Director Security Services EMEA bei Arctic Wolf. „RaaS bietet nicht selten genau die Art von Dokumentation und Architektur, die man auch von gängigen SaaS-Angeboten erwarten würde, und ist weit entfernt von der popkulturellen Darstellung des stereotypen, kapuzenpullitragenden Einzelgängers.“

Wie in der SaaS-Branche gibt es auch bei RaaS unterschiedliche Preisstrategien der Anbieter. Einige bieten ihre Angriffsdienste als einmaligen Kauf an, andere im Rahmen von Abonnements, wieder andere nutzen eine Kombination aus Abonnement und einem Anteil an der Lösegeldgebühr, die nach einem erfolgreichen Angriff an den Entwickler gezahlt wird. Im letzteren Fall sind die Anbieter durchaus wählerisch und arbeiten nur mit Kunden zusammen, die eine gewisse Erfolgsbilanz vorweisen können. Es erfolgt also eine initiale Rentabilitätsprüfung.

Warum RaaS so erfolgreich ist

Kryprowährungen sind ein entscheidender Faktor für den Erfolg von RaaS. Weil Währungen wie Bitcoin und Monero schwer zurückzuverfolgen sind, eignen sie sich für RaaS-Zahlungen und Lösegeldforderungen. Zudem lassen sich die Kryptowährungen vergleichsweise einfach in „sauberes Geld“ umwandeln, was sie für bösartige Akteure, die auf schnellen Profit aus sind, attraktiv macht.

Der Einsatz von Ransomware ist nicht nur eine effektive Angriffsstrategie, RaaS-Dienste sind auch vergleichsweise leicht zugänglich, nutzbar und anpassungsfähig. Häufig nutzen Angreifer eine Ransomware-Plattform zur Verwaltung der Opfer und der zugehörigen Stati und entwickeln diese Plattform und die einzelnen Angriffsmodule kontinuierlich weiter. So können sie leicht neue Funktionen einbauen, welche die Plattform noch „skalierbarer und produktiver“ machen. Einige Angreifer-Gruppen kooperieren zudem bei der Bearbeitung der Opfer und teilen Code für Angriffsmodule.

So können Unternehmen sich schützen

Obwohl die Angreifer organisiert und hochprofessionell vorgehen, können Unternehmen sich vor Ransomware-Angriffen schützen. Bei der Abwehr von Cyber-Bedrohungen empfiehlt sich ein proaktiver Ansatz mit präventiven Maßnahmen:

Etablierung eines Security-Mindsets, beziehungsweise einer sicherheitsbewussten Unternehmenskultur: Dies beginnt mit der Aufklärung über Cyber-Hygiene und der Erkenntnis, dass Sicherheit kein Zustand, sondern ein kontinuierlicher Prozess ist. Wenn sich die Bedrohungen ändern, sollten die Bedrohungsdaten genutzt werden, um die Verteidigungsstrategien und die Sicherheitsinformationsressourcen anzupassen.

• Mitarbeiterschulungen, um ein Bewusstsein für die Bedrohungen zu schaffen und zu erklären, wie sie Phishing-Betrügereien und andere Warnsignale erkennen können. Das ist besonders wichtig, da sich Social-Engineering-Angriffe direkt gegen Mitarbeitende richten.

• Ausschöpfen aller Möglichkeiten, um die Datensicherheit zu erhöhen, beispielsweise durch häufigere Backups. Dabei sollten Backups in separaten Verwaltungsbereichen gespeichert werden, damit sie nicht zusammen mit den aktiv genutzten Daten gefährdet werden (Air-Gapped-Lösung).

Regelmäßiges Patchen der Systeme, da RaaS-Angreifer häufig bekannte Schwachstellen und Konfigurationsfehler ausnutzen.

Umfangreiches Security-Monitoring, um Cyberattacken schnell zu erkennen und entsprechende Maßnahmen zu ergreifen. Detection and Response wird oft in Form von Managed Detection and Response (MDR) als Service angeboten.

Foto: ©AdobeStock/kras99