Eine neue Untersuchung von Barracuda Networks zeigt, dass 44 Prozent der vereitelten Ransomware-Angriffe im Jahr 2024 während der lateralen Bewegung innerhalb des Netzwerks erkannt wurden. Der Gesundheitssektor bleibt mit 21 Prozent der Angriffe das beliebteste Ziel. Die Analyse identifiziert zudem neue Taktiken und Werkzeuge, die Angreifer verwenden, um ihre Angriffe effizienter und schwerer erkennbar zu machen.
Foto: Barracuda
Adam Khan, Vice President Global Security Operations bei Barracuda Networks
Die Untersuchung von Barracuda Networks beleuchtet detailliert, wie Ransomware-Angriffe im Jahr 2024 in der Regel erkannt werden und welche Muster dabei eine zentrale Rolle spielen. Die Ergebnisse zeigen, dass die laterale Bewegung innerhalb eines Netzwerks das deutlichste Anzeichen für einen bevorstehenden Angriff ist. 44 Prozent der abgewehrten Angriffe wurden durch die Erkennung dieser Bewegung entdeckt. Laterale Bewegung bezeichnet den Prozess, bei dem Angreifer nach dem ersten erfolgreichen Eindringen in ein System versuchen, sich seitlich durch das Netzwerk zu bewegen, um zusätzliche Systeme zu kompromittieren und ihre Kontrolle auszuweiten.
Zusätzlich zu dieser Methode wurden 25 Prozent der Angriffe entdeckt, als die Angreifer versuchten, Dateien zu erstellen oder zu ändern – ein häufiges Verhalten, um schädliche Software zu platzieren oder wichtige Daten zu verschlüsseln. 14 Prozent der Angriffe wurden durch die Erkennung ungewöhnlicher Verhaltensweisen abgewehrt, die nicht zu den typischen Aktivitäten der betroffenen Systeme oder Nutzer passten. Diese Anomalien können beispielsweise auf einen verdächtigen Zugriff auf Dateien oder Manipulationen an Betriebssystemkomponenten hinweisen.
Der Gesundheitssektor ist auch 2024 ein bevorzugtes Ziel von Ransomware-Angriffen. Laut der Barracuda-Analyse waren 21 Prozent aller dokumentierten Ransomware-Angriffe in den letzten zwölf Monaten auf diese Branche gerichtet – ein Anstieg im Vergleich zu 18 Prozent im Vorjahr. Dies macht das Gesundheitswesen zur am stärksten betroffenen Branche. Angreifer nutzen die oft mangelhafte IT-Sicherheit von Krankenhäusern und Gesundheitseinrichtungen, um kritische Infrastrukturen zu stören und Lösegeldforderungen zu stellen. Dies führt nicht nur zu finanziellen Schäden, sondern kann auch das Leben von Patienten gefährden.
Auch andere Sektoren sind weiterhin stark betroffen: 15 Prozent der Angriffe zielten auf die Fertigungsindustrie und 13 Prozent auf den Technologiesektor. Interessant ist, dass sich die Angriffe auf den Bildungssektor im Vergleich zum Vorjahr halbiert haben – von 18 Prozent auf nur noch neun Prozent.
Ein zentrales Element der aktuellen Ransomware-Bedrohung ist das Ransomware-as-a-Service (RaaS)-Modell. RaaS ermöglicht es weniger technisch versierten Kriminellen, sich Ransomware von erfahrenen Entwicklern "zu mieten" oder zu kaufen. Dabei werden fertige Angriffstools gegen eine Gewinnbeteiligung angeboten, wodurch es für eine Vielzahl von Akteuren einfacher wird, Ransomware-Angriffe durchzuführen. Gruppen wie LockBit und ALPHV/BlackCat setzen vermehrt auf dieses Modell. LockBit war 2024 für 18 Prozent der dokumentierten Angriffe verantwortlich.
RaaS-basierte Angriffe sind besonders schwer zu erkennen, da verschiedene Gruppen unterschiedliche Methoden und Tools nutzen, um dasselbe Ziel zu erreichen – das Ausführen einer Ransomware-Attacke.
Die Analyse von Barracuda hebt mehrere Schlüsselindikatoren und Angriffs-Tools hervor, die Cyberkriminelle 2024 nutzen, um Ransomware-Angriffe durchzuführen. Diese Tools machen es möglich, komplexe Angriffe durchzuführen und gleichzeitig Sicherheitsmaßnahmen zu umgehen. Die wichtigsten Werkzeuge und Muster im Jahr 2024 umfassen:
1. Laterale Bewegung im Netzwerk
Wie bereits erwähnt, ist die laterale Bewegung das häufigste Muster, das zur Erkennung von Angriffen führt. Nachdem Angreifer in ein Netzwerk eingedrungen sind, versuchen sie, ihren Zugang zu erweitern, indem sie sich zu weiteren, oft kritischen Systemen innerhalb desselben Netzwerks bewegen. Dabei nutzen sie häufig legitime Zugriffsrechte, die sie durch gestohlene Anmeldedaten erlangt haben. Diese Methode ermöglicht es den Angreifern, ihre Präsenz im Netzwerk zu verbergen und gleichzeitig ihre Angriffsmöglichkeiten zu maximieren.
Die Detektion dieser Bewegungen kann durch die Überwachung des Netzwerkverkehrs und das Erkennen unüblicher Kommunikationsmuster erfolgen.
2. Dateiänderungen als Indikator für Ransomware-Aktivitäten
Ein weiteres wichtiges Erkennungsmerkmal von Ransomware-Angriffen ist die Manipulation von Dateien. Angreifer ändern Dateien oder erstellen neue, um ihre Malware zu installieren oder wichtige Daten zu verschlüsseln. 25 Prozent der Angriffe wurden durch solche Dateiänderungen erkannt. Sicherheitslösungen analysieren in diesen Fällen, ob die Änderungen mit bekannten Ransomware-Signaturen oder verdächtigen Mustern übereinstimmen.
Dies unterstreicht, wie wichtig es ist, eine kontinuierliche Überwachung und Sicherung von sensiblen Dateien zu gewährleisten. Systeme müssen in der Lage sein, Dateiänderungen in Echtzeit zu analysieren und verdächtige Aktivitäten sofort zu blockieren.
3. Ungewöhnliches Verhalten als Erkennungsmerkmal
Ungewöhnliche Aktivitäten, die von den normalen Verhaltensmustern der Nutzer und Systeme abweichen, sind ein weiterer Indikator für Ransomware-Angriffe. 14 Prozent der abgewehrten Angriffe im Jahr 2024 wurden durch die Erkennung solcher Verhaltensmuster entdeckt. Dies umfasst etwa ungewöhnlichen Zugriff auf Dateien oder unübliche Netzwerkaktivitäten, die auf einen bevorstehenden Angriff hindeuten könnten.
Fortschrittliche KI-gestützte Systeme lernen das normale Verhalten von Nutzern und Systemen im Netzwerk kennen und können Abweichungen in Echtzeit identifizieren. Beispielsweise kann ein plötzlicher Zugriff eines Mitarbeiters auf sensible Daten, die er normalerweise nicht benötigt, ein Hinweis auf einen Angriff sein. Diese Abweichungen führen häufig zu automatisierten Sicherheitswarnungen, die es den IT-Teams ermöglichen, sofort zu reagieren.
Zwei besonders interessante Fallstudien in der Barracuda-Analyse beleuchten die Taktiken der Ransomware-Gruppen 8Base und PLAY. Beide Gruppen nutzen die Schwächen ungeschützter Geräte aus, um Ransomware zu verbreiten. Dabei verstecken sie schädliche Dateien oft in Verzeichnissen, die selten kontrolliert werden, wie Video- oder Musikordnern. Diese Taktik erschwert die Entdeckung und gibt den Angreifern mehr Zeit, um ihre Angriffe auszuführen.
Die 8Base-Gruppe griff ein Unternehmen im Bereich Fahrzeugpflege an, während die PLAY-Gruppe auf ein Unternehmen im Gesundheitswesen zielte. Beide Vorfälle zeigen, wie wichtig es ist, alle Geräte im Netzwerk ausreichend zu schützen und auch vermeintlich unwichtige Dateispeicher im Auge zu behalten.
Barracuda betont in seiner Analyse, dass der Einsatz mehrschichtiger Sicherheitslösungen entscheidend ist, um Ransomware-Angriffe effektiv zu erkennen und abzuwehren. KI-gestützte Systeme, die in Echtzeit auf Bedrohungen reagieren können, spielen dabei eine zentrale Rolle. Unternehmen müssen sicherstellen, dass alle Bereiche ihrer IT-Infrastruktur ausreichend geschützt sind, insbesondere Geräte und Netzwerksegmente, die potenziell anfällig für Angriffe sind.
Adam Khan, Vice President Global Security Operations bei Barracuda Networks, betont die Herausforderungen, die Ransomware-Angriffe mit sich bringen:
„Ransomware-Angriffe auf RaaS-Basis können schwer zu erkennen und aufzuhalten sein. Verschiedene Cybercrime-Akteure nutzen unterschiedliche Tools und Taktiken, um denselben Payload zu verbreiten, was zu erheblichen Unterschieden bei den Angriffen führt. Glücklicherweise gibt es dennoch bewährte Ansätze, auf die sich die meisten Angreifer verlassen, beispielsweise Scanning, laterale Bewegung und Malware-Downloads. Diese können Sicherheitswarnungen auslösen, die den Sicherheitsteams verschiedene Möglichkeiten bieten, Ransomware-Angriffe zu erkennen, einzudämmen und zu entschärfen, bevor diese sich vollständig entfalten können.“
.jpg&size=390x230&crop=0&trim=1)
