Ransomware-Angriffe folgen häufig bekannten Mustern. Eine Auswertung von Incident-Response-Fällen aus Mai und Juni zeigt externe Fernzugänge, Social Engineering und öffentlich erreichbare Schwachstellen als zentrale Zugriffswege. Besonders betroffen waren Fertigungsindustrie, Gesundheitswesen und Baugewerbe.
Foto: Arctic Wolf
Sebastian Schmerl, Vice President Security Services EMEA bei Arctic Wolf
Viele erfolgreiche Ransomware-Angriffe basieren nicht auf neuen Angriffstechniken, sondern auf wiederkehrenden Methoden und bekannten Schwachstellen. Zu diesem Ergebnis kommt das Incident-Response-Team des Security-Operations-Unternehmens Arctic Wolf nach der Analyse von Kundenfällen aus den Monaten Mai und Juni. Neben den bevorzugten Zugriffswegen untersuchte das Team auch die auftretenden Ransomware-Gruppen, die betroffenen Branchen sowie die Höhe der anfänglichen Lösegeldforderungen.
Bei den initialen Zugriffswegen zeigt die Auswertung ein weitgehend bekanntes Bild. Besonders häufig gelangten Angreifer über extern erreichbare Fernzugänge in Unternehmensnetzwerke. Zu den gängigen Angriffsmethoden gehörten außerdem Social Engineering sowie die Ausnutzung öffentlich erreichbarer Schwachstellen.
Damit bleiben bekannte Sicherheitslücken und nicht ausreichend abgesicherte Remote-Zugänge wesentliche Risikofaktoren. Bei den fünf am häufigsten in den untersuchten Incident-Response-Fällen beobachteten Ransomware-Gruppen nennt Arctic Wolf Akira, Qilin, PLAY, INC und DragonForce.
Dass sich bekannte Vorgehensweisen wiederholen, sieht Arctic Wolf zugleich als Ansatzpunkt für die Verteidigung. „Die größte Gefahr besteht heute nicht in unbekannten Angriffsmethoden, sondern in bekannten Schwachstellen, die übersehen oder zu spät behoben werden“,
sagt Sebastian Schmerl, Vice President Security Services EMEA bei Arctic Wolf. Aus seiner Sicht bietet gerade die Wiederholung bestimmter Angriffsmuster Möglichkeiten, Aktivitäten frühzeitig zu identifizieren.
„Die gute Nachricht ist: Weil viele Ransomware-Gruppen immer wieder dieselben Methoden nutzen, lassen sich verdächtige Muster frühzeitig erkennen. Unternehmen sollten deshalb ihre Angriffsfläche kontinuierlich überwachen und Sicherheitslücken zügig schließen“,
so Schmerl weiter.
Deutliche Unterschiede zeigen die Incident-Response-Daten bei der Höhe der geforderten Lösegelder. Die durchschnittliche anfängliche Lösegeldforderung betrug im untersuchten Zeitraum 1.642.412 US-Dollar. Der Median lag dagegen mit 450.000 US-Dollar erheblich niedriger.
Nach Einschätzung von Arctic Wolf zeigt diese Differenz, dass die Forderungen der Angreifer an Faktoren wie Größe, Bekanntheit und vermutete Zahlungsfähigkeit der jeweiligen Opfer angepasst werden.
Die Lösegeldforderung selbst stellt dabei nur einen Teil der möglichen finanziellen Belastung nach einem erfolgreichen Angriff dar. Weitere Kosten können durch Ausfallzeiten und die Wiederherstellung betroffener Systeme entstehen. Hinzu kommen der Aufwand für forensische Untersuchungen und rechtliche Maßnahmen sowie mögliche Benachrichtigungspflichten. Nach Angaben des Unternehmens können diese Folgekosten in vielen Fällen deutlich über der ursprünglich verlangten Lösegeldsumme liegen.
Die Zahlen beziehen sich ausschließlich auf die anfänglichen Forderungen in den von Arctic Wolf untersuchten Fällen. Angaben dazu, welche Summen tatsächlich bezahlt wurden oder wie sich die Gesamtkosten der einzelnen Vorfälle entwickelten, enthält die Auswertung nicht.
Bei der Verteilung nach Wirtschaftszweigen entfielen die meisten der untersuchten Fälle auf drei Bereiche. An erster Stelle nennt die Auswertung die Fertigungsindustrie, gefolgt vom Gesundheitswesen und dem Baugewerbe.
Gemeinsam ist diesen Branchen, dass längere Betriebsunterbrechungen erhebliche operative und wirtschaftliche Auswirkungen haben können. In der Fertigung können Cyberangriffe Produktionsstillstände verursachen, während im Gesundheitswesen die Versorgung von Patienten betroffen sein kann. Im Baugewerbe können Unterbrechungen laufende Projekte beeinträchtigen. Der daraus resultierende Zeitdruck kann laut Arctic Wolf von Ransomware-Akteuren für ihre Erpressungsstrategie genutzt werden.
Die Auswertung der Incident-Response-Fälle aus Mai und Juni zeichnet damit vor allem ein Bild wiederkehrender Risiken: Extern erreichbare Remote-Zugänge, Social Engineering und öffentlich bekannte Schwachstellen bleiben wichtige Angriffswege. Gleichzeitig konzentrieren sich die beobachteten Vorfälle auf Branchen, in denen Betriebsunterbrechungen besonders weitreichende Folgen haben können. Dass Ransomware-Gruppen wiederholt ähnliche Methoden einsetzen, macht die bekannten Schwachstellen damit weiterhin zu einem zentralen Faktor bei der Abwehr entsprechender Angriffe.
 OpenAI.png&size=390x230&crop=0&trim=1)
