Wie Ransomware-Banden ihre Opfer auswählen

Bei der Berichterstattung über Ransomware-Vorfälle geht es meist um die betroffene Organisation, gestohlene Daten und die anschließende Lösegeldforderung. Wie die Täter ihre Opfer innerhalb eines Unternehmens auswählen, bleibt dabei oft im Dunkeln.

Eine neue Untersuchung des Zscaler-Sicherheitsteams ThreatLabz widmet sich genau diesem Punkt und kommt zu dem Schluss, dass die Auswahl alles andere als zufällig erfolgt. Für die Analyse betrachtete ThreatLabz die Opfer einer einzelnen Ransomware-Kampagne über einen Zeitraum von einem Monat. In dieser Zeit ließen sich 351 Opfer in 334 Organisationen der Kampagne zuordnen. Untersucht wurde dabei, welche Position die betroffenen Personen im Unternehmen innehatten und wie ihre Funktion und ihre Befugnisse den Angreifern beim Eindringen ins Netzwerk halfen.

Management-Konten als bevorzugtes Ziel

Eines der wichtigsten Ergebnisse: 62 Prozent der betroffenen Personen bekleideten eine Position auf Managementebene oder darüber. Damit bestätigt sich, dass die Täter systematisch nach Zugängen suchen, die Zugriff auf Kundendaten, Finanzunterlagen, Verträge und operative Systeme ermöglichen. In der Studie heißt es dazu, der Wert eines kompromittierten Management-Kontos „wurde durch den Umfang der Zugriffsrechte definiert, die mit der Position verbunden sind“. Führungskräfte könnten schließlich Zahlungen freigeben, über Budgets und Lieferanten entscheiden, Verträge prüfen und die Zusammenarbeit über mehrere Geschäftsbereiche hinweg koordinieren, so die Autoren.

Auch die Verteilung nach Branchen fällt in der Auswertung deutlich aus. Rund die Hälfte der betroffenen Unternehmen kam aus nur zwei Bereichen: Über 35 Prozent stammten aus der Industrie, knapp 15 Prozent aus der Informationstechnologie. Laut ThreatLabz eröffnen kompromittierte Konten in Industrieunternehmen häufig Zugänge zu Systemen für Fertigung, Distribution oder Logistik. Bei IT-Unternehmen geraten dagegen eher geistiges Eigentum und die Plattformen ins Visier, über die digitale Dienste laufen. In beiden Fällen kann eine gezielte Verschlüsselung den laufenden Betrieb empfindlich stören, was zusätzlich zu den gestohlenen Daten als Druckmittel für die Lösegeldforderung dient.

Bei der Aufschlüsselung nach Geschäftsbereichen zeigt sich, dass mehr als 75 Prozent aller betroffenen Personen aus nur fünf Abteilungen stammten: Finanz- und Rechnungswesen (der am stärksten betroffene Bereich), Vertrieb, operativer Betrieb, Personalabteilung und Marketing. Auffällig ist zudem die Altersverteilung: Rund 44 Prozent der Opfer gehörten der Generation X an, das Durchschnittsalter lag bei 46 Jahren. ThreatLabz führt das darauf zurück, dass diese Altersgruppe überdurchschnittlich häufig etablierte Management- oder höherwertige Positionen bekleidet und den Angreifern damit Zugang zu wertvollen Systemen, Daten und Entscheidungsbefugnissen verschafft.

Falsche IT-Mitarbeiter und künstliche Dringlichkeit

Um das Vertrauen ihrer Zielpersonen zu gewinnen, setzen die Angreifer laut der Untersuchung „häufig künstlich erzeugte Dringlichkeit sowie die falsche Identität von vermeintlichen IT-Mitarbeitenden“ ein. Als Werkzeuge dienen dabei gängige Kollaborations- und Support-Lösungen wie Microsoft Teams oder Quick Assist, also Programme, die in vielen Unternehmen ohnehin regulär im IT-Support zum Einsatz kommen. Gelingt die Täuschung, kann daraus schnell umfangreicher Datendiebstahl mit anschließender Erpressung entstehen.

Was Unternehmen jetzt tun sollten

Die Forscher weisen darauf hin, dass der Einsatz von KI auf Angreiferseite eine bessere Personalisierung solcher Angriffe erlaubt und Identitätsdiebstahl überzeugender macht. Dadurch werde es für Ransomware-Akteure einfacher, Attacken mit weniger offensichtlichen Warnsignalen zu fahren. Um dem entgegenzuwirken, empfiehlt ThreatLabz mehrere Maßnahmen:

• Aufbau einer Zero-Trust-Architektur mit strikter Netzwerksegmentierung, um laterale Bewegungen im System zu verhindern
• Konsequente Durchsetzung des Least-Privilege-Prinzips, damit Zugriffe auf sensible Daten auf das Notwendigste beschränkt bleiben
• Blockieren externer Nachrichten in Kollaborationstools
• Sensibilisierung der Belegschaft, interne IT-Anfragen aktiv zu verifizieren
• Einsatz KI-gestützter Sicherheitslösungen zur kontinuierlichen Überwachung

Insgesamt zeigt die Auswertung, dass technische Abwehrmaßnahmen allein nicht ausreichen. Wer Ransomware-Angriffe verhindern will, sollte laut ThreatLabz auch verstehen, welche Rollen und Personen im eigenen Unternehmen für Angreifer besonders lohnende Ziele darstellen.

(red/Zscaler)