Was machen die Cyberkriminellen eigentlich mit dem ganzen Lösegeld?

Autor: Tom Wannenmacher

Artikelbild:  gualtiero boffi / Shutterstock.com
Artikelbild:  gualtiero boffi / Shutterstock.com

„Das Geschäftemachen mit den Cyberkriminellen ist ein Spiel mit dem Feuer, und zugleich sollte sich jeder darüber im Klaren sein, dass das Erpressungsgeld nicht nur für privaten Luxus ausgegeben wird, sondern auch für immer neue Attacken und Technologien, wodurch das Wachstum des Cybercrime-Geschäfts im Ganzen getrieben wird.“ (Paul Ducklin, Senior Technologist, Sophos)

Ransomware spült den Cyberverbrechern ein Vermögen auf die Kryptowährungskonten. Doch wo landet die ganze Kohle? Ein Leben in Saus und Braus? Recherchen von Sophos zeigen, dass viel Geld lieber in weitere Angriffe investiert wird.

Wohin gehen eigentlich die Millionen Bitcoins & Co., die die Opfer von Ransomware-Angriffen ihren Erpressern in der Annahme bezahlen, dass sie so wieder in den Besitz ihrer konfiszierten Daten kommen?

Zumindest einmal gab es eine Ahnung: Bei einer Festnahme von Verdächtigen in der Ukraine, die in Verbindung mit der Ransomware-Gruppierung „Clop“ stehen, gab es eine beeindruckende Sammlung von Autoschlüsselanhängern, die als Beweismittel eingesammelt wurden, und zahlreiche Luxusautos, die auf Abschleppfahrzeuge verladen und beschlagnahmt wurden.

Aber, wie in jedem guten Unternehmen, investieren Cyberkriminelle den Gewinn zu gewissen Anteilen auch wieder in den „Betrieb“ zurück. Und auch der Ausbau des Cybercrime-Geschäfts im Allgemeinen ist ein beliebtes Geschäftsmodell für den Einsatz der verdienten Dollar. So ist es nicht verwunderlich, dass die REvil-Gruppierung im letzten Jahr Bitcoins im Wert von einer Million US-Dollar an ein Cybercrime-Forum als Vorauszahlung für erbrachte Leistungen übergab. Allerdings diente diese Aktion eher dazu, den Mitgliedern des Forums zu beweisen, dass das angebotene Geld mehr als nur ein Versprechen war: Es war bereits verpflichtend investiert, um für erfolgreiche „Bewerber“ ausgegeben zu werden.

RAT, LPE, RCE – Cybercrime-Fachjargon unter der Lupe

Das Angebot auf diesem Markt der Cyberverbrechen klingt kryptisch und reicht von dateiloser Software für Windows 10 mit bis zu 150.000 US-Dollar für die Originallösung über Zero-Day Exploits inklusive RCE mit einem Budget von mehreren Millionen US-Dollar bis zu Angeboten wie „Ich kaufe die meisten sauberen RATs.“ Die Liste der Fachbegriffe auf den Cybercrime-Foren ist lang, die wichtigsten werden im Folgenden kurz beschrieben:

  • RAT = Remote Access Trojan.

Auch bekannt als Bots oder Zombies. RATs öffnen unautorisierte Zugangslücken, die den Betrügern die Kontrollübernahme über den PC ermöglichen. Einige RATs bieten explizite Fernzugriffsbefehle, die Keylogging einschalten, Screenshots erstellen, Audio- und Videoaufnahmen machen oder vertrauliche Dateien kopieren.

Aber nahezu alle RATS verfügen auch über Funktionen, die die RATs selbst automatisch aktualisieren, herunterladen oder zusätzliche bzw. willkürliche Malware installieren oder den Original-RAT sofort schließen und sämtliche Beweise beseitigen können. Die enorme Fähigkeit eines RATs, sich in eine völlig andere Schadsoftware zu verwandeln, zeigt: die Risiken, die sich aus einem unentdeckten RAT ergeben, sind nahezu grenzenlos.

  • Dateilose Software „lebt“ in der Registry.

Technisch gesehen ist Software, die in der Registry (bei Windows der Ort, an dem die Konfiguration für das Betriebssystem liegt) „lebt“, nicht wirklich dateilos, denn die Registry selbst liegt in einer Datei auf der Festplatte. Aber die meiste Software, die Windows automatisch beim Start anwirft, ist in der Registry gelistet, als Dateiname, der das Programm enthält, das ausgeführt werden soll. Wenn das Programm also schadhaft oder unerwünscht ist, kann ein regulärer Scan der Festplatte die Malware finden und entfernen. So der normale Gang. Einige Registry-Einträge können jedoch das eigentliche Skript oder Programm, das Windows ausführen soll, direkt in den Registrierungsdaten verschlüsselt enthalten. Bedrohungen, die so gespeichert werden, belegen keine eigene Datei auf der Festplatte und sind daher schwerer zu finden.

  • LPE = Local Privilege Escalation.

Betrüger können bei einer LPE nicht in den Computer vordringen. Aber: sind sie bereits im System, können sie selbst eine LPE-Schwachstelle nutzen, um sich von einem normalen Nutzerkonto zu einem Konto mit mehr Rechten zu befördern. Hackers-Liebling ist der Domain Admin, nahezu gleichberechtigt mit dem SysAdmin.

  • RCE = Remote Code Execution.

Macht genau das, was es sagt: Angreifer gelangen in den Computer und starten ein Programm ihrer Wahl ohne Username/Passwort-Login.

Schwachstellen, für die es noch keine Patches gibt.

  • Zero-Click-Attack.

Angriffe, bei denen keine Aktion des Nutzers nötig ist. Die Technik funktioniert sogar, wenn der Computer gesperrt oder niemand angemeldet ist, wie es auf Servern oft der Fall ist.

Die Gretchenfrage nach einer Ransomwareattacke

Zahlen oder nicht Zahlen, das ist die Frage nach einer erfolgreichen Hackerattacke mit Ransomware. Auch wenn grundsätzlich kein Lösegeld gezahlt werden sollte, gibt es leider keine pauschale Antwort, da es schließlich die einzige Chance für das Opfer sein kann, eine geschäftliche Katastrophe abzuwenden. Wie der „Sophos State of Ransomware Report 2021“ allerdings deutlich macht, ist das Zahlen des Lösegelds bei Weitem kein Garant für die komplette Datenwiederherstellung. Nur 8% der Befragten, die das Lösegeld bezahlten, bekamen im Anschluss alle ihre Daten zurück.

„Alle die sich schon einmal gesagt haben, dass es doch keinen großen Schaden für andere anrichten kann, eben das Lösegeld zu zahlen, um Zeit und Aufwand für die Wiederherstellung zu sparen, sollten es besser wissen“, so Paul Ducklin, Senior Technologist bei Sophos.

„Das Geschäftemachen mit den Cyberkriminellen ist ein Spiel mit dem Feuer, und zugleich sollte sich jeder darüber im Klaren sein, dass das Erpressungsgeld nicht nur für privaten Luxus ausgegeben wird, sondern auch für immer neue Attacken und Technologien, wodurch das Wachstum des Cybercrime-Geschäfts im Ganzen getrieben wird.“

Artikelbild:  gualtiero boffi / Shutterstock.com
Unterstützen 🤍

FAKE NEWS BEKÄMPFEN

Unterstützen Sie Mimikama, um gemeinsam gegen Fake News vorzugehen und die Demokratie zu stärken. Helfen Sie mit, Fake News zu stoppen!

Mit Deiner Unterstützung via PayPal, Banküberweisung, Steady oder Patreon ermöglichst Du es uns, Falschmeldungen zu entlarven und klare Fakten zu präsentieren. Jeder Beitrag, groß oder klein, macht einen Unterschied. Vielen Dank für Deine Hilfe! ❤️

Mimikama-Webshop

Unser Ziel bei Mimikama ist einfach: Wir kämpfen mit Humor und Scharfsinn gegen Desinformation und Verschwörungstheorien.

Abonniere unseren WhatsApp-Kanal per Link- oder QR-Scan! Aktiviere die kleine 🔔 und erhalte eine aktuelle News-Übersicht sowie spannende Faktenchecks.

Link: Mimikamas WhatsApp-Kanal

Mimikama WhatsApp-Kanal

Hinweise: 1) Dieser Inhalt gibt den Stand der Dinge wieder, der zum Zeitpunkt der Veröffentlichung aktuell
war. Die Wiedergabe einzelner Bilder, Screenshots, Einbettungen oder Videosequenzen dient zur
Auseinandersetzung der Sache mit dem Thema.


2) Einzelne Beiträge (keine Faktenchecks) entstanden durch den Einsatz von maschineller Hilfe und
wurde vor der Publikation gewissenhaft von der Mimikama-Redaktion kontrolliert. (Begründung)


Mit deiner Hilfe unterstützt du eine der wichtigsten unabhängigen Informationsquellen zum Thema Fake News und Verbraucherschutz im deutschsprachigen Raum

INSERT_STEADY_CHECKOUT_HERE

Kämpfe mit uns für ein echtes, faktenbasiertes Internet! Besorgt über Falschmeldungen? Unterstütze Mimikama und hilf uns, Qualität und Vertrauen im digitalen Raum zu fördern. Dein Beitrag, egal in welcher Höhe, hilft uns, weiterhin für eine wahrheitsgetreue Online-Welt zu arbeiten. Unterstütze jetzt und mach einen echten Unterschied! Werde auch Du ein jetzt ein Botschafter von Mimikama

Mehr von Mimikama

Mimikama Workshops & Vorträge: Stark gegen Fake News!

Mit unseren Workshops erleben Sie ein Feuerwerk an Impulsen mit echtem Mehrwert in Medienkompetenz, lernen Fake News und deren Manipulation zu erkennen, schützen sich vor Falschmeldungen und deren Auswirkungen und fördern dabei einen informierten, kritischen und transparenten Umgang mit Informationen.