Verschleierungstechnik für Spionage: Ransomware mit cyber-kriminellem Mehrfachnutzen

Ransomware-Bedrohungsakteure könnten von „ChamelGang“-Aktivitäten Kenntnis nehmen und ein weiteres Geschäftsmodell entwickeln

[datensicherheit.de, 02.08.2024] Dies sein nur eine Frage der Zeit gewesen: Eine Bedrohungsgruppe mit dem Namen „ChamelGang“ verwende Ransomware als sekundäre Angriffsart, um ihre Spuren zu verwischen. Sicherheitsforscher der „Sentinellabs“ von SentinelOne hätten diese bisherige Anomalie in einem Report aufgedeckt. Laut deren Erkenntnissen nutze diese APT („Advanced Persistent Threat“) sowohl Datenverschlüsselung als auch Exfiltration und Erpressung. Dr. Martin J. Krämer, „Security Awareness Advocate“ bei KnowBe4, kommentiert diesen Vorfall in seiner aktuellen Stellungnahme: „Unternehmen und Organisationen, die Opfer dieser Gruppe wurden, werden durch die Ransomware abgelenkt und wissen oftmals nicht, dass vor der Verschlüsselung auch noch eine umfassende Exfiltration stattgefunden hat.“ Es sei davon auszugehen, dass der eigentliche Auftrag Spionage gewesen sei und die Verschlüsselung und Erpressung als Extra-Geschäft genutzt würden. „Wenn die Angreifer schon mal im Netz sind, verdienen sie sich bei der Gelegenheit noch mal etwas extra dazu, so könnte man meinen“, so Dr. Krämer.

Foto: KnowBe4

Dr. Martin J. Krämer rät Unternehmen wie Organisationen, mehr in ihre Phishing-Prävention zu investieren und vor allem die eigenen Mitarbeiter zu schulen

Ransomware-Akteure könnten Cyber-Spionagemarktplatz etablieren

Diese zusätzliche Taktik mache Cyber-Angriffe wesentlich gefährlicher: „Es ist nicht auszuschließen, dass mehrere Ransomware-Bedrohungsakteure davon Kenntnis nehmen und ein weiteres Geschäftsmodell entwickeln.“ Angenommen, eine Ransomware-Gruppe habe sich einen ersten Zugang verschafft und ihre Ransomware im Stillen überall verteilt – alles, was es nun noch brauche, sei ein Bedrohungsakteur, der einen „Spionagemarktplatz“ einrichtet, „auf dem auch andere bösartige Akteure nach Einfallstoren für jenes Unternehmen oder Organisation suchen“.

Nationalstaatliche Spionage-Akteure könnten von Ransomware-Einfallstoren profitieren

Weiter gedacht, würden dann auch nationalstaatliche Akteure davon profitieren, welche die Ransomware-Einfallstore zu Spionagezwecken nutzen möchten. Eine Ransomware-Gruppe könnte dann den Zugang zunächst an eine andere Gruppe verkaufen, „die ausschließlich Spionage betreiben möchte und danach dann ein zweites Mal Geld verdienen, in dem es Daten verschlüsselt und das Opfer erpresst“.

Phishing als bevorzugtes Ransomware-Einfallstor

Nicht zuletzt aus diesem Grund sollten Unternehmen wie Organisationen mehr in ihre Phishing-Prävention investieren und vor allem die eigenen Mitarbeiter schulen. „Security Awareness Trainings“ mit dem Ziel einer dauerhaften Verhaltensveränderung und der Etablierung einer starken Sicherheitskultur seien geeignete Mittel, um Phishing zu stoppen. Ohne Phishing als Einfallstor müssten APTs nämlich mehr finanziellen und zeitlichen Aufwand betreiben, um an ihr Ziel zu kommen – so dass es sich dann, egal welches Ransomware-Geschäftsmodell, weniger lohne.

Weitere Informationen zum Thema:

SentinelLABS, Aleksandar Milenkoski & Julian-Ferdinand Vögele, Juni 2024
CHAMELGANG & FRIENDS | CYBERESPIONAGE GROUPS ATTACKING CRITICAL INFRASTRUCTURE WITH RANSOMWARE