Startseite
Seiten entdecken
Arten von Ransomware

Seien Sie auf diese gängigen Arten von Ransomware vorbereitet

6 Formen von Ransomware-Angriffen, 9 vielbeachtete Ransomware-Angriffe und 12 aktuelle Ransomware-Varianten, über die Sie Bescheid wissen sollten.

Übersicht

Ein Überblick über gängige Ransomware-Arten im Jahr 2024

Von allen Gefahren in der heutigen Bedrohungslandschaft ist Ransomware wohl die am meisten gefürchtete. Die verschiedenen Arten vonRansomware-Angriffenkönnen sich hinsichtlich ihrer Motive und Mechanismen unterscheiden, haben jedoch alle eines gemeinsam: Sie machen die Daten des Opfers unzugänglich. Für ein modernes Unternehmen kann dies eine existenzielle Bedrohung darstellen.

Erfahren wir mehr über die gängigsten Formen von Ransomware, darunter:

Spinde
Krypto-Ransomware
Scareware
Ransomware as a Service (RaaS)
Erpressungssoftware (einschließlich Doxware und Leakware)
Wiper-Malware

Außerdem erfahren Sie mehr über aufsehenerregende Angriffe der Vergangenheit sowie über die derzeit schwerwiegendsten Ransomware-Bedrohungen.

Ransomware Arten

Die 6 häufigsten Arten von Ransomware-Angriffen

Wenn Menschen das Wort „Ransomware“ hören, denken sie meist an eine erzwungene Verschlüsselung. Dies ist zwar ein Faktor bei vielen der bekanntesten Ransomware-Angriffe, trifft jedoch nicht immer zu. Was einen Ransomware-Angriff wirklich ausmacht, ist – wie der Name schon sagt – die Forderung nach einer Zahlung, um dem Opfer den Zugriff auf seine Daten wieder zu ermöglichen. Diese Taktik lässt sich bei den folgenden sechs gängigen Arten von Ransomware-Angriffen beobachten.

1. Krypto-Ransomware
Als eine der bekanntesten und schädlichsten Formen von Ransomware verschlüsselt Krypto- oder Encryptor-Ransomware zwangsweise die Dateien und Daten in einem System und macht den Inhalt unzugänglich, solange das Opfer nicht zahlt. Um den Druck zu erhöhen, fügen die Entwickler von Krypto-Ransomware ihrer Zahlungsforderung oft einen Countdown hinzu, nach dessen Ablauf die Dateien gelöscht werden. Selbst wenn das Lösegeld – in der Regel in Kryptowährung – gezahlt wird, gibt es natürlich keine Garantie dafür, dass die Angreifer ihr Versprechen einhalten und einen Entschlüsselungscode bereitstellen. Zu den gängigen Formen von Krypto-Ransomware zählen Hive, REvil und Ryuk.

2. Schließfächer
Anstatt Dateien zu verschlüsseln, blockiert „Locker“-Ransomware den Zugriff auf Daten, indem sie grundlegende Computerfunktionen deaktiviert, um Ihre Dateien und Anwendungen unbrauchbar zu machen. In der Regel können Sie nicht mehr auf Ihren Desktop zugreifen, behalten jedoch gerade so viel Maus- und Tastaturfunktionalität, dass Sie die Zahlung vornehmen können. Auf einem Sperrbildschirm wird die Lösegeldforderung angezeigt, oft zusammen mit der gefürchteten Countdown-Uhr. Zwar ist eine vollständige Zerstörung Ihrer Daten unwahrscheinlich, doch die Malware kann sich schnell in Ihrem Netzwerk ausbreiten und andere Geräte in Ihrem Unternehmen infizieren. Zu den gängigen Formen von „Locker“-Ransomware zählen CryptoLocker und Locky.

3. Ransomware als Dienstleistung
(RaaS) RaaS erfreut sich derzeit rasant wachsender Beliebtheit und bringt den Komfort von SaaS in die Cyberkriminalität. Bei dieser Form der Bedrohung wird der Angriff von einer professionellen RaaS-Gruppe durchgeführt, die ihre eigene Malware hostet und verbreitet, Zahlungen von den Opfern einzieht und (im Idealfall) den Zugriff im Gegenzug für einen Anteil am Lösegeld wiederherstellt. RaaS ermöglicht es technisch weniger versierten oder amateurhaften Cyberkriminellen, einen hochwirksamen Ransomware-Angriff durchzuführen. Für die Entwickler der verwendeten Malware bedeutet die Durchführung des Angriffs im Auftrag ihrer Kunden leicht verdientes Geld bei geringerem Risk. RaaS-Banden können jede beliebige Art von Malware einsetzen, zu den gängigen Formen zählen jedoch LockBit, Black Basta und der DarkSide-Nachfolger BlackMatter.

4. Erpressungssoftware
(Extortionware) Erpressungssoftware (Extortionware) stellt eine noch größere Bedrohung dar als gewöhnliche Ransomware, da sie über die Verschlüsselung hinausgeht und damit droht, geschützte Daten oder personenbezogene Informationen (PII) über ihre Ziele zu veröffentlichen, sofern keine Zahlung erfolgt. Wenn solche Angriffe auf ein einzelnes Opfer abzielen – eine Variante, die auch als „Doxware“ bekannt ist –, kann diese Veröffentlichung die betroffene Person der Gefahr öffentlicher Demütigung, ruinierter Karrieren oder persönlicher Beziehungen oder sogar körperlicher Gewalt aussetzen. Wenn sich der Angreifer eher auf eine Organisation als Ganzes konzentriert – also bei „Leakware“ –, ähneln die potenziellen Auswirkungen denen jeder anderen Art von Datenpanne, einschließlich öffentlicher Blamage, beschädigter Kunden- und Geschäftsbeziehungen sowie Bußgeldern durch Aufsichtsbehörden. Zu den häufig bei verschiedenen Arten von Erpressungssoftware-Angriffen verwendeten Programmen gehören „DoppelPaymer“, „Revil“ und „EvilQuest“.

5. Wiper-Malware
Auch wenn sie nicht dem klassischen Verständnis von Ransomware entspricht, tarnen sich Wiper-Malware-Angriffe oft als Ransomware, weshalb es wichtig ist, die Unterschiede zwischen beiden zu verstehen. Wie Ransomware schränkt Wiper-Malware den Zugriff des Nutzers auf Daten ein. Wie bei einem Ransomware-Angriff fordern die Angreifer oft eine Zahlung und setzen dabei möglicherweise eine Countdown-Uhr ein, um einen dramatischen Effekt zu erzielen. Es gibt jedoch einen entscheidenden Unterschied: In den meisten Fällen haben die Täter eines Wiper-Malware-Angriffs nicht die Absicht, den Datenzugriff des Opfers wiederherzustellen. Ihr Hauptziel ist es, Chaos anzurichten, indem sie die Daten dauerhaft zerstören, und jegliches Geld, das sie dabei verdienen, ist lediglich ein Bonus für eine gut gemachte Arbeit. Zu den bei Wiper-Malware-Angriffen verwendeten Programmen gehören NotPetya und KillDisk.

6. Scareware
Scareware ist gefälschte Software, die oft bei weniger versierten Opfern Erfolg hat. Sie gibt vor, einen Virus oder ein anderes Problem auf Ihrem Computer entdeckt zu haben, und fordert Sie auf, für die Behebung des Problems zu zahlen. Eine Pop-up-Warnung – oder eine ganze Flut davon – drängt den Nutzer dazu, ein Tool oder einen Dienst herunterzuladen, um das Problem zu beheben. Natürlich ist es genau diese heruntergeladene Software, die dem Angreifer tatsächlich Zugriff auf das System verschafft. An diesem Punkt sperren manche Arten von Scareware den Computer und fordern ein Lösegeld, obwohl sie das System in der Regel nicht beschädigen oder Dateien kompromittieren. Zu den gängigen Formen von Scareware gehörten unter anderem „Mac Defender“ und „WinFixer“.

Ransomware-Angriffen

9 bekannte Ransomware-Angriffe

Eine vollständige Liste aller öffentlich bekannt gewordenen Ransomware-Angriffe wäre länger, als man lesen möchte, und viele Opfer schweigen verständlicherweise (obwohl börsennotierte Unternehmen von der SEC verpflichtet sind, Cyberangriffe offenzulegen). Eine Handvoll viel beachteter Beispiele verdeutlicht den potenziellen Schaden – einschließlich der Lösegeldzahlungen sowie der weitreichenden Auswirkungen – nur allzu deutlich.

1) CryptoLocker (2013–2014) – Als einer der ersten großen Ransomware-Angriffe, der sich über infizierte E-Mail-Anhänge und das Gameover-Zeus-Botnetz verbreitete, erpresste CryptoLocker von verschiedenen kleinen und mittelständischen Unternehmen Zahlungen in Höhe von schätzungsweise 3 Millionen US-Dollar.

2) WannaCry (2017) – Dieser weltweite Angriff betraf über 230.000 Computer in 150 Unternehmen. Der britische National Health Service erlitt geschätzte Verluste in Höhe von 92 Millionen US-Dollar, ganz zu schweigen von den unermesslichen Belastungen für Patienten, Ärzte und Einrichtungen. Weltweit beliefen sich die Gesamtverluste auf 4 Milliarden US-Dollar.

3) Petya/NotPetya (2017) – Diese äußerst erfolgreiche Kampagne verursachte weltweit Verluste in Höhe von 10 Milliarden US-Dollar, darunter 300 Millionen US-Dollar für die Reederei Maersk.

4) GandCrab (2018–2019) – GandCrab richtete sich nicht gegen einige wenige wohlhabende Opfer, sondern gegen zahlreiche kleine und mittelständische Unternehmen und verursachte weltweit einen geschätzten Gesamtschaden in Höhe von 2 Milliarden US-Dollar.

5) REvil/Sodinokibi (2021) – REvil kam 2022 bei mehr als einem Fünftel der Incident-Response-Einsätze von IBM zum Einsatz. Schätzungen zufolge hat REvil weltweit rund 175.000 Computer infiziert, wobei mindestens 200 Millionen US-Dollar an Lösegeld gezahlt wurden. Allein JBS Foods zahlte Berichten zufolge 11 Millionen US-Dollar.

6) Maze (2019–2020) – Das IT-Beratungsunternehmen Cognizant wurde von der Ransomware-Variante „Maze“ schwer getroffen. Das Unternehmen meldete direkte Kosten der Recovery in Höhe von 50 bis 70 Millionen US-Dollar; rechnet man die entgangenen Einnahmen hinzu, beliefen sich die finanziellen Auswirkungen insgesamt auf schätzungsweise bis zu 140 Millionen US-Dollar.

7) Ryuk (2020) – Ein Angriff auf Universal Health Services betraf 250 Pflegeeinrichtungen in den USA. Die langfristigen Auswirkungen lassen sich nur schwer abschätzen, doch die kurzfristigen Verluste beliefen sich auf 67 Millionen US-Dollar.

8) DarkSide (2021) – Dieser RaaS-Angriff, der vor allem durch seine Auswirkungen auf Colonial Pipeline bekannt wurde, brachte den Angreifern ein Lösegeld in Höhe von 4,4 Millionen US-Dollar ein – doch das ist nur ein Teil des Gesamtbildes. Die Angreifer stahlen zudem rund 100 GB an Daten von den Servern des Unternehmens. Unterdessen kam es zu weitreichenden Kraftstoffengpässen und Preisanstiegen, die sich auf Verbraucher-, Unternehmens- und Finanzmärkte auswirkten.

9) ALPHV/BlackCat und Scattered Spider (2023) – Die Ransomware-Gruppen arbeiteten bei einem Angriff auf MGM Resorts zusammen und verschafften sich durch Social-Engineering-Taktiken auf LinkedIn einen ersten Zugriff. Trotz erheblicher Beeinträchtigungen des Betriebs und des Gästeerlebnisses über einen Zeitraum von fast zwei Wochen weigerte sich das Unternehmen, das Lösegeld zu zahlen – musste jedoch geschätzte 100 Millionen US-Dollar an Umsatzausfällen und sonstigen Schäden hinnehmen.

Ransomware-Bedrohungen

12 der derzeit schwerwiegendsten Ransomware-Bedrohungen

Die aktuelle Ransomware-Landschaft wird immer fragmentierter. Während sich viele ältere, bekannte Varianten weiterentwickelt haben, unter neuem Namen auftreten oder ihren Betrieb eingestellt haben, tauchen immer wieder neue Gruppen auf. Viele oder sogar die meisten davon agieren im RaaS-Modell und wenden Doppel-Erpressungstaktiken an, bei denen separate Lösegeldzahlungen für die Entschlüsselung und die Löschung gestohlener Daten geleistet werden müssen.

Hier sind zwölf Ransomware-Bedrohungen, auf die Sie derzeit achten sollten.

1) LockBit – LockBit wird von einer äußerst raffinierten RaaS-Bande verbreitet und ist eine der weltweit am häufigsten auftretenden und zerstörerischsten Formen von Ransomware. Die Software nutzt native Windows-Tools, um der Erkennung zu entgehen, tarnt ihre ausführbare Datei als .PNG-Datei und kann sich mit minimalem manuellem Eingriff selbstständig im Netzwerk verbreiten. Aggressives Marketing, eine benutzerfreundliche Oberfläche und ein attraktives Gewinnbeteiligungsmodell haben zu ihrer steigenden Beliebtheit beigetragen.

2) PLAY – Diese ausgeklügelte Cyberbedrohung, auch bekannt als PlayCrypt, tauchte im Juni 2022 auf und konzentriert sich vor allem auf Lateinamerika. PLAY ist derzeit als RaaS verfügbar und nutzt Schwachstellen in öffentlich zugänglichen Systemen wie Fortinet SSL VPN und Microsoft Exchange ProxyNotShell aus, wobei für den Erstzugriff kompromittierte, gültige Konten verwendet werden.

3) Black Basta – Seit Anfang 2022 gehört Black Basta zu den weltweit aktivsten RaaS-Gruppen. Die Gruppe wendet eine doppelte Erpressungstaktik an, indem sie die Daten der Opfer verschlüsselt und anschließend damit droht, sensible Informationen zu veröffentlichen. Black Basta entwickelt seine Taktiken kontinuierlich weiter und hat kürzlich E-Mail-DDoS-Angriffe und Voice-Phishing (Vishing) in seine Angriffe integriert.

4) RansomHub – RansomHub ist ein relativ neues, aber schnell wachsendes RaaS-Modell, das sich auf kritische Infrastruktursektoren wie das Gesundheitswesen, die Wasserwirtschaft, Finanzdienstleistungen und Behörden konzentriert. Gängige Taktiken wie Phishing, das Ausnutzen von Sicherheitslücken und „Password Spraying“ in Verbindung mit EDR-Killer-Tools haben der Gruppe dabei geholfen, bei über 200 Opfern in die Systeme einzudringen, darunter das Auktionshaus Christie’s und Change Healthcare.

5) Hunters International – Hunters International ist möglicherweise eine umbenannte Version von Hive und wird als RaaS betrieben, das sich in erster Linie auf Datenexfiltration und Erpressung statt auf Dateiverschlüsselung konzentriert. Die Malware wurde in Rust programmiert, was ihre Fähigkeit verbessert, der Erkennung zu entgehen und die Verschlüsselung zu beschleunigen. Sie ist dafür bekannt, Prozesse zu beenden, Sicherungskopien zu löschen und Recovery-Mechanismen zu deaktivieren.

6) Akira – Akira ist eine weitere RaaS-Gruppe, die für ihre Doppel-Erpressungstaktiken bekannt ist und sich schnell zu einer der weltweit größten Ransomware-Bedrohungen entwickelt hat. Die Lösegeldforderungen liegen in der Regel zwischen 200.000 US-Dollar und über 4 Millionen US-Dollar, wobei die meisten Opfer aus den Bereichen Bildung, Finanzen, Fertigung und Gesundheitswesen stammen.

7) Medusa – Die Medusa-RaaS-Plattform verbreitet sich rasch über weltweite Partner und verschafft sich in der Regel zunächst Zugriff, indem sie Sicherheitslücken in Diensten ausnutzt oder Phishing-Kampagnen durchführt. Sobald sie sich Zugang verschafft hat, beendet sie über 280 Windows-Dienste und -Prozesse, um die Verschlüsselung zu erleichtern. Ein Blog, in dem die Namen der Opfer sowohl im Dark Web als auch im Surface Web öffentlich gemacht werden, hat ihr in der Cybersicherheits-Community einen berüchtigten Ruf eingebracht.

8) BianLian – BianLian, derzeit eine der weltweit größten Ransomware-Bedrohungen, hat seinen Schwerpunkt in jüngster Zeit von Verschlüsselungsangriffen auf Erpressungsangriffe verlagert. Die Gruppe verschafft sich häufig über kompromittierte RDP-Anmeldedaten Zugriff, nutzt Open-Source-Tools und Befehlszeilenskripte zum Sammeln von Anmeldedaten und zur Datenermittlung und exfiltriert die Daten anschließend über FTP, Rclone oder den Dateifreigabedienst Mega.

9) 8Base – Die Gruppe 8Base, die 2022 zunächst als Penetrationstester in Erscheinung trat, betreibt mittlerweile Doppel-Erpressungsangriffe gegen kleine und mittelständische Unternehmen in den USA, Brasilien und Großbritannien. Ihre Malware deaktiviert Windows-Defender-Komponenten, löscht Schattenkopien, löscht Ereignisprotokolle und ändert Registrierungseinträge, um die Benutzerkontensteuerung zu umgehen und Persistenz zu erreichen.

10) INC Ransomware – Seit Juli 2023 verschafft sich diese Gruppe über Spear-Phishing-E-Mails oder durch Ausnutzung von Sicherheitslücken in Diensten Zugriff und nutzt anschließend eine Kombination aus kommerziellen Tools und „Living-off-the-Land“-Binärdateien (LOLBINs) zur Erkundung und lateralen Bewegung. Die Gruppe bietet zynischerweise den „Service“ an, ihre Methoden offenzulegen, um die Umgebung des Opfers nach Zahlungseingang sicherer zu machen.

11) Qilin – Qilin, das seinen RaaS-Dienst ursprünglich unter dem Namen „Agenda“ betrieb, wendet eine Strategie der doppelten Erpressung an, wobei die Lösegeldforderungen zwischen 50.000 und 800.000 US-Dollar liegen. Hochentwickelte Malware, die sowohl in Golang als auch in Rust geschrieben ist, verschafft sich über Phishing-E-Mails und VPN-Netzwerke ohne Multi-Faktor-Authentifizierung einen ersten Zugriff. Anpassbare Features wie das Ändern von Dateiendungen und das Beenden bestimmter Prozesse machen den Dienst äußerst flexibel.

12) Vanir Group – Seit ihrem ersten Auftritt im Juli 2024 hat die RaaS-Gruppe „Vanir Group“ Verbindungen zu ehemaligen Mitgliedern anderer bekannter Ransomware-Gruppen geknüpft, wodurch sie ihre Vorgehensweise rasch verfeinern konnte. Die Gruppe ist sowohl für ihren Anschein von Professionalität als auch für äußerst aggressive Taktiken bekannt, wie beispielsweise das Versenden einschüchternder Nachrichten an Geschäftsführer, um ihren Forderungen nach doppelter Erpressung mehr Dringlichkeit zu verleihen.

Sowohl die Arten von Ransomware-Software als auch die Taktiken der Gruppen, die sie einsetzen, entwickeln sich ständig weiter. Ein vollständiger Schutz vor einem Sicherheitsvorfall ist zwar nicht möglich, doch durch einen unermüdlichen Fokus auf Datenschutz, Backup and Recovery sowie auf die Stärkung der Cyber-Resilienz können Sie das Risiko, das von diesen Bedrohungen ausgeht, mindern. Seien Sie wachsam, seien Sie vorbereitet, und Sie können dazu beitragen,den Geschäftsbetrieb unabhängig von den Umständen aufrechtzuerhalten.