Thought Leadership
Die Zerschlagung der LockBit-Ransomware-Gruppe im Februar 2024 erschütterte die Cyberkriminalität. Laut WithSecure’s neuem Report befindet sich LockBit nun in einer Umbauphase, mit deutlichen Anzeichen für ein geplantes Comeback.
Der neue WithSecure-Report bietet einen detaillierten Einblick in die neuesten Entwicklungen der Welt der Ransomware. Als eines der zentralen Ergebnisse aus der ersten Hälfte des Jahres 2024 kann festgehalten werden, dass die Produktivität der Ransomware-Branche nach ihrem Höhepunkt Ende 2023 nicht mehr ansteigt. Außerdem zeigen sich interessante Entwicklungen bei Angriffszielen und Branchendynamik.
Während die Produktivität von Ransomware dieses Jahr eher nachlässt, sind die Häufigkeit der Angriffe und die Höhe der eingenommenen Lösegeldzahlungen in der ersten Hälfte des Jahres 2024 im Vergleich zu den gleichen Zeiträumen der beiden Vorjahre weiter gestiegen. „Es gibt eine deutliche Verlagerung hin zu kleinen und mittleren Unternehmen, die nun einen größeren Anteil der Ransomware-Opfer ausmachen“, sagt Tim West, Director of Threat Intelligence and Outreach bei WithSecure.
Klar ist: Strafverfolgungsmaßnahmen, insbesondere die Zerschlagung der LockBit-Ransomware-Gruppe im Februar 2024, haben eine entscheidende Rolle bei der Unterbrechung großer Ransomware-Operationen gespielt. Diese Bemühungen haben zur Beschlagnahmung bedeutender Vermögenswerte und zur Zerstörung kritischer Infrastrukturen auf Seiten der Ransomware-Gruppen geführt.
Trotz dieser Unterbrechungen bleiben langfristige Auswirkungen der Strafverfolgung auf das Ransomware-Ökosystem ungewiss, da sich die Gruppen meist anpassen und weiterentwickeln. Der Report zeigt insbesondere für die Zeit seit Juni 2024 vermehrt Hinweise auf eine Umbauphase bei LockBit auf. Im Ergebnis ziehen die Autoren den Schluss, dass LockBit mit großer Sicherheit beabsichtigt, mit einem robusteren Betriebsmodell in die Branche zurückzukehren.
Der Bericht untersucht die Architektur von Ransomware-as-a-Service (RaaS)-Kollektiven und hebt den zunehmenden Wettbewerb zwischen Ransomware-Franchises hervor, um Partner anzuziehen. Nach dem Niedergang prominenter Gruppen wie LockBit und ALPHV haben sich viele neue „nomadische“ Ransomware-Affiliates mit etablierteren RaaS-Marken zusammengeschlossen.
„Das Vertrauen innerhalb der cyberkriminellen Gemeinschaft ist wahrscheinlich aufgrund von Vorfällen wie dem mutmaßlichen Exit-Scam von ALPHV, bei dem Partner um ihre Einnahmen betrogen wurden, erheblich geschwächt worden. Das verkompliziert die Dynamik innerhalb des Ransomware-Ökosystems weiter“, beschreibt West.
Ein bemerkenswerter festgestellter Trend ist die zunehmende Nutzung des Erstzugriffs über die Ausnutzung von Edge-Diensten, wie in früheren WithSecure-Untersuchungen beschrieben, sowie die häufige Verwendung von Fernverwaltungs-Tools durch Ransomware-Akteure.
Der Bericht geht auch auf das anhaltende Problem der Reinfektion ein. Ein Ergebnis: Die Daten zeigen, dass ein erheblicher Prozentsatz der Unternehmen, die Lösegeld gezahlt haben, später erneut von denselben oder anderen Ransomware-Gruppen angegriffen wurden.
(lb/WithSecure)
