Studie von Trend Micro: Der Cybercrime-Markt professionalisiert sich zusehends.

Foto: Kevin Ku/unsplash Die Trend Micro-Studie "Investigating the Emerging Access-as-a-Service Market" durchleuchtet die undurchsichtige Lieferkette der Cyberkriminalität Trend Micro, Anbieter von Cybersicherheitslösungen, veröffentlicht eine neue Studie, welche die undurchsichtige Lieferkette der Cyberkriminalität beleuchtet, die für die derzeitige Zunahme von Ransomware-Angriffen maßgeblich ist. Die Nachfrage wuchs über die letzten zwei Jahre stark an, sodass viele cyberkriminelle Märkte inzwischen ihre eigene „Access-as-a-Service“-Sparte aufweisen. Das Bildungswesen ist dabei die weltweit am meisten betroffene Branche. Auf den Plätzen befinden sich der Produktions- und der Dienstleistungssektor.

Eindämmung von Brokern

 „Die Aufmerksamkeit der Medien und Unternehmen richtet sich bisher vor allem auf den Ransomware-Payload, sprich die Übertragung und Verschlüsselung der eigentlichen Nutzerdaten, obwohl das Hauptaugenmerk zuerst auf der Eindämmung der Aktivitäten von Initial-Access-Brokern (IAB) liegen sollte“, betont Richard Werner, Business Consultant bei Trend Micro. „Incident-Response-Teams müssen oft zwei oder mehr sich überschneidende Angriffsketten untersuchen, um die Ursache eines Ransomware-Angriffs zu identifizieren. Das erschwert häufig den gesamten Incident-Response-Prozess. Gelingt es, die Aktivitäten von Access Brokern zu überwachen, welche Unternehmensnetzwerkzugänge stehlen und verkaufen, kann den Ransomware-Akteuren der Nährboden entzogen werden. Hierfür müssen alle an der IT-Security Beteiligten zusammenarbeiten, denn viele, auch große Unternehmen, sind nicht in der Lage, dies aus eigener Kraft zu tun.“

Von Opportunisten bis Cybercrime-Shops

Der Bericht zeigt drei Hauptarten von Access Brokern auf. Opportunistische Verkäufer konzentrieren sich auf den schnellen Profit und sind noch in anderen Bereichen der Cyberkriminalität aktiv sind. Dedizierte Broker sind fortgeschrittene und versierte Hacker, die Zugang zu einer Vielzahl an Unternehmen anbieten. Ihre Dienste werden häufig von kleineren Ransomware-Akteuren und -Gruppen in Anspruch genommen. Kriminelle „Online-Shops“, die Remote-Desktop-Protocol (RDP)- und Virtual-Private-Network (VPN)-Zugangsdaten anbieten, gewährleisten nur den Zugang zu einem einzelnen Rechner, nicht aber zu einem umfassenden Netzwerk oder ganzen Unternehmen. Jedoch eröffnen sie dadurch weniger erfahrenen Cyberkriminellen eine einfache und automatisierte Möglichkeit, um sich Zutritt zu verschaffen. Diese können dabei sogar gezielt nach Standort, Internet Service Provider (ISP), Betriebssystem, Portnummer, Administratorenrechten oder Unternehmensnamen suchen.

Die meisten Access-Broker-Angebote beinhalten einen einfachen Datensatz an Zugangsinformationen, welche aus verschiedenen Quellen stammen können. Häufige Ursprünge der Daten sind vorangegangene Sicherheitsvorfälle und entschlüsselte Passwort-Hashes, kompromittierte Bot-Computer, ausgenutzte Schwachstellen in VPN-Gateways oder Webservern sowie einzelne opportunistische Angriffe.

Zugang bereits ab zehn Dollar

Die Preise variieren abhängig von der Art des Zugangs, des Jahresumsatzes des Unternehmens sowie dem Umfang der vom Käufer zu erbringenden Zusatzarbeit. Während ein RDP-Zugang bereits für zehn Dollar erworben werden kann, liegt der Preis für Administratoren-Zugangsdaten zu einem Unternehmen bei durchschnittlich 8.500 Dollar. Bei besonders attraktiven Opfern können die Preise bis zu 100.000 Dollar betragen.