Volcano Demon: Ransomware-Erpressung via Telefonanruf

Die Ransomware-Gruppe Volcano Demon setzt offenbar auf Anrufe, um Druck auf ihre Opfer auszuüben, wie Sicherheitsforscher von Halcyon AI berichten. Der direkte Kontakt ersetzt dabei die sonst übliche Veröffentlichung der gestohlenen Daten im Netz.

Eine neue, besonders bedrohliche Ransomware-Gruppierung mit dem Namen Volcano Demon treibt seit etwa zwei Wochen ihr Unwesen und hat in dieser kurzen Zeit gleich mehrere Unternehmen angegriffen. In mindestens zwei Fällen kam dabei eine neue Ransomware namens LukaLocker zum Einsatz. Diese bösartige Software verschlüsselt Dateien mit der Erweiterung „.nba“ und ist so konzipiert, dass sie schwer zu erkennen und zu analysieren ist.

‍Und noch etwas anderes hebt Volcano Demon von anderen Cyberkriminellen ab. Denn die Hintermänner melden sich bei ihren Opfern telefonisch, um Druck auf die Verantwortlichen auszuüben und sie zur Zahlung des geforderten Lösegelds zu zwingen. Dazu setzen sie auf häufige, manchmal tägliche Drohanrufe von nicht identifizierten Nummern.

‍Ansonsten ähnelt die Vorgehensweise von Volcano Demon dem üblichen Schema: Bevor sie ihre Ransomware-Angriffe starten, lädt die Gruppe sensible Daten auf Command-and-Control-Server (C2). Diese gestohlenen Daten werden als Druckmittel verwendet, um die Opfer zur Kooperation zu zwingen. Die von den Angreifern hinterlassene Lösegeldforderung ist klar und deutlich: „Wenn Sie diesen Vorfall ignorieren, werden wir dafür sorgen, dass Ihre vertraulichen Daten der Öffentlichkeit zugänglich gemacht werden.“

‍Bisher fällt es Cybersicherheitsexperten schwer, die Kriminellen hinter Volcano Demon auszumachen. Die Gruppe löscht die Log-Dateien auf den kompromittierten Rechnern, bevor sie ihre Angriffe ausführt, was eine gründliche forensische Auswertung nahezu unmöglich macht. Doch gerade bei der Verfolgung der Angreifer könnte ihnen ihre besondere Vorgehensweise zum Verhängnis werden, denn im Gegensatz zu normalen Ransomware-Angriffen gibt es durch die Anrufe Aufnahmen der Drahtzieher mit Stimmen und Hintergrundgeräuschen. Eine genaue Auswertung dieser Sound-Dateien könnte die Ermittler in Zukunft auf die Spur der Erpresserbande bringen. Zusätzliche Hinweise könnten die Verbindungsdaten der Anrufe liefern. Es wird sich also herausstellen, ob die neue Einschüchterungstaktik von Volcano Demon aufgeht oder ob sie damit am Ende ein Eigentor geschossen haben.

(lb/8com)