Immer häufiger nutzen Cyberkriminelle eine Strategie namens intermittierende Verschlüsselung, um ihre Ransomware zu beschleunigen. Dabei werden jeweils nur Teile der betroffenen Dateien verschlüsselt, wodurch sich die benötigte Zeit, um ein System zu chiffrieren, drastisch verkürzt. Überspringt man beispielsweise jede zweite 16-Byte-Reihe einer Datei, benötigt man nur noch die Hälfte der Zeit einer vollständigen Verschlüsselung. Für die Opfer ist das Ergebnis das gleiche: Die betroffene Datei kann ohne einen Dechiffriercode nicht mehr genutzt werden.
Neben der kürzeren Verschlüsselungsdauer bietet diese Vorgehensweise einen weiteren Vorteil: Da die Eingriffe in das System weniger ausgeprägt sind als bei einer herkömmlichen Ransomware, steigt die Wahrscheinlichkeit, dass der Schädling von automatischen Erkennungstools übersehen oder zumindest nicht rechtzeitig entdeckt wird.
In einem Bericht schreiben Sicherheitsforscher von SentinelLabs, dass sie den neuen Trend erstmals Mitte 2021 bei der Ransomware LockFile entdeckt haben. Seither haben sie mit Black Basta, ALPHV (BlackCat), PLAY, Agenda und Qyick weitere Vertreter gefunden, die auf intermittierende Verschlüsselung setzen. Diese werden häufig auch in Untergrundforen als Ransomware as a Service angeboten, wobei die Vorteile der schnelleren Verschlüsselung als schlagendes Verkaufsargument genutzt werden. Eine Werbebotschaft von Qyick bezeichnet intermittierende Verschlüsselung beispielsweise „als das, was die coolen Kids nutzen“.
Auch die Agenda-Ransomware bietet ihren „Kunden“ intermittierende Verschlüsselung an, hier als optionale und konfigurierbare Einstellung. Die Hacker können dabei zwischen drei verschiedenen Methoden wählen: Bei „Skip-Step“ wird eine bestimmte Anzahl an MB verschlüsselt, dann wird eine bestimmte Zahl an MB übersprungen. Bei „Fast“, werden die ersten X MB einer Datei verschlüsselt und bei „Percent“ wird ein bestimmter Prozentsatz einer Datei chiffriert, die übrigen Prozent bleiben unverschlüsselt. Bei allen drei Methoden sind die Parameter der Verschlüsselung frei wählbar. Ähnliche Wahlmöglichkeiten bieten auch BlackCat, wobei es hier zusätzlich einen „Auto“-Modus gibt, der die verschiedenen Methoden kombiniert und die Dateien so noch schwerer dechiffrierbar macht.
Die Sicherheitsexperten warnen davor, die Gefahr durch intermittierende Verschlüsselung zu unterschätzen, denn die oben erwähnte Schnelligkeit und Unsichtbarkeit im System dürften dazu führen, dass sich immer mehr Ransomware-Gruppen für eine Nutzung entscheiden werden. Die schnellere Verschlüsselung und die Möglichkeit, länger unentdeckt zu bleiben, sorgt dafür, dass den Opfern immer weniger Zeit bleibt, um der Ransomware bei einer Infektion Einhalt zu gebieten. Umso wichtiger ist es, die Hacker gar nicht erst hereinzulassen und die Sicherheitsmaßnahmen auf den neusten Stand zu bringen.
Neben der kürzeren Verschlüsselungsdauer bietet diese Vorgehensweise einen weiteren Vorteil: Da die Eingriffe in das System weniger ausgeprägt sind als bei einer herkömmlichen Ransomware, steigt die Wahrscheinlichkeit, dass der Schädling von automatischen Erkennungstools übersehen oder zumindest nicht rechtzeitig entdeckt wird.
In einem Bericht schreiben Sicherheitsforscher von SentinelLabs, dass sie den neuen Trend erstmals Mitte 2021 bei der Ransomware LockFile entdeckt haben. Seither haben sie mit Black Basta, ALPHV (BlackCat), PLAY, Agenda und Qyick weitere Vertreter gefunden, die auf intermittierende Verschlüsselung setzen. Diese werden häufig auch in Untergrundforen als Ransomware as a Service angeboten, wobei die Vorteile der schnelleren Verschlüsselung als schlagendes Verkaufsargument genutzt werden. Eine Werbebotschaft von Qyick bezeichnet intermittierende Verschlüsselung beispielsweise „als das, was die coolen Kids nutzen“.
Auch die Agenda-Ransomware bietet ihren „Kunden“ intermittierende Verschlüsselung an, hier als optionale und konfigurierbare Einstellung. Die Hacker können dabei zwischen drei verschiedenen Methoden wählen: Bei „Skip-Step“ wird eine bestimmte Anzahl an MB verschlüsselt, dann wird eine bestimmte Zahl an MB übersprungen. Bei „Fast“, werden die ersten X MB einer Datei verschlüsselt und bei „Percent“ wird ein bestimmter Prozentsatz einer Datei chiffriert, die übrigen Prozent bleiben unverschlüsselt. Bei allen drei Methoden sind die Parameter der Verschlüsselung frei wählbar. Ähnliche Wahlmöglichkeiten bieten auch BlackCat, wobei es hier zusätzlich einen „Auto“-Modus gibt, der die verschiedenen Methoden kombiniert und die Dateien so noch schwerer dechiffrierbar macht.
Die Sicherheitsexperten warnen davor, die Gefahr durch intermittierende Verschlüsselung zu unterschätzen, denn die oben erwähnte Schnelligkeit und Unsichtbarkeit im System dürften dazu führen, dass sich immer mehr Ransomware-Gruppen für eine Nutzung entscheiden werden. Die schnellere Verschlüsselung und die Möglichkeit, länger unentdeckt zu bleiben, sorgt dafür, dass den Opfern immer weniger Zeit bleibt, um der Ransomware bei einer Infektion Einhalt zu gebieten. Umso wichtiger ist es, die Hacker gar nicht erst hereinzulassen und die Sicherheitsmaßnahmen auf den neusten Stand zu bringen.
