Luxusschlitten oder Reinvestition? Was machen die Cyberkriminellen eigentlich mit dem ganzen Lösegeld?

Ransomware spült den Cyberverbrechern ein Vermögen auf die Kryptowährungskonten. Doch wo landet die ganze Kohle? Ein Leben in Saus und Braus? Recherchen von Sophos zeigen, dass viel Geld lieber in weitere Angriffe investiert wird.

Wohin gehen eigentlich die Millionen Bitcoins & Co., die die Opfer von Ransomware-Angriffen ihren Erpressern in der Annahme bezahlen, dass sie so wieder in den Besitz ihrer konfiszierten Daten kommen? Zumindest einmal gab es eine Ahnung: Bei einer Festnahme von Verdächtigen in der Ukraine, die in Verbindung mit der Ransomware-Gruppierung „Clop“ stehen, gab es eine beeindruckende Sammlung von Autoschlüsselanhängern, die als Beweismittel eingesammelt wurden, und zahlreiche Luxusautos, die auf Abschleppfahrzeuge verladen und beschlagnahmt wurden.

Aber, wie in jedem guten Unternehmen, investieren Cyberkriminelle den Gewinn zu gewissen Anteilen auch wieder in den „Betrieb“ zurück. Und auch der Ausbau des Cybercrime-Geschäfts im Allgemeinen ist ein beliebtes Geschäftsmodell für den Einsatz der verdienten Dollar. So ist es nicht verwunderlich, dass die REvil-Gruppierung im letzten Jahr Bitcoins im Wert von einer Million US-Dollar an ein Cybercrime-Forum als Vorauszahlung für erbrachte Leistungen übergab. Allerdings diente diese Aktion eher dazu, den Mitgliedern des Forums zu beweisen, dass das angebotene Geld mehr als nur ein Versprechen war: Es war bereits verpflichtend investiert, um für erfolgreiche „Bewerber" ausgegeben zu werden.

RAT, LPE, RCE – Cybercrime-Fachjargon unter der Lupe

Das Angebot auf diesem Markt der Cyberverbrechen klingt kryptisch und reicht von dateiloser Software für Windows 10 mit bis zu 150.000 US-Dollar für die Originallösung über Zero-Day Exploits inklusive RCE mit einem Budget von mehreren Millionen US-Dollar bis zu Angeboten wie „Ich kaufe die meisten sauberen RATs.“ Die Liste der Fachbegriffe auf den Cybercrime-Foren ist lang, die wichtigsten werden im Folgenden kurz beschrieben:

• RAT = Remote Access Trojan.

Auch bekannt als Bots oder Zombies. RATs öffnen unautorisierte Zugangslücken, die den Betrügern die Kontrollübernahme über den PC ermöglichen. Einige RATs bieten explizite Fernzugriffsbefehle, die Keylogging einschalten, Screenshots erstellen, Audio- und Videoaufnahmen machen oder vertrauliche Dateien kopieren.

Aber nahezu alle RATS verfügen auch über Funktionen, die die RATs selbst automatisch aktualisieren, herunterladen oder zusätzliche bzw. willkürliche Malware installieren oder den Original-RAT sofort schließen und sämtliche Beweise beseitigen können. Die enorme Fähigkeit eines RATs, sich in eine völlig andere Schadsoftware zu verwandeln, zeigt: die Risiken, die sich aus einem unentdeckten RAT ergeben, sind nahezu grenzenlos.

• Dateilose Software „lebt“ in der Registry.

Technisch gesehen ist Software, die in der Registry (bei Windows der Ort, an dem die Konfiguration für das Betriebssystem liegt) „lebt“, nicht wirklich dateilos, denn die Registry selbst liegt in einer Datei auf der Festplatte. Aber die meiste Software, die Windows automatisch beim Start anwirft, ist in der Registry gelistet, als Dateiname, der das Programm enthält, das ausgeführt werden soll. Wenn das Programm also schadhaft oder unerwünscht ist, kann ein regulärer Scan der Festplatte die Malware finden und entfernen. So der normale Gang. Einige Registry-Einträge können jedoch das eigentliche Skript oder Programm, das Windows ausführen soll, direkt in den Registrierungsdaten verschlüsselt enthalten. Bedrohungen, die so gespeichert werden, belegen keine eigene Datei auf der Festplatte und sind daher schwerer zu finden.

• LPE = Local Privilege Escalation.

Betrüger können bei einer LPE nicht in den Computer vordringen. Aber: sind sie bereits im System, können sie selbst eine LPE-Schwachstelle nutzen, um sich von einem normalen Nutzerkonto zu einem Konto mit mehr Rechten zu befördern. Hackers-Liebling ist der Domain Admin, nahezu gleichberechtigt mit dem SysAdmin.

• RCE = Remote Code Execution.

Macht genau das, was es sagt: Angreifer gelangen in den Computer und starten ein Programm ihrer Wahl ohne Username/Passwort-Login.

• Zero-Day-Exploits.

Schwachstellen, für die es noch keine Patches gibt.

• Zero-Click-Attack.

Angriffe, bei denen keine Aktion des Nutzers nötig ist. Die Technik funktioniert sogar, wenn der Computer gesperrt oder niemand angemeldet ist, wie es auf Servern oft der Fall ist.

Die Gretchenfrage nach einer Ransomwareattacke

Zahlen oder nicht Zahlen, das ist die Frage nach einer erfolgreichen Hackerattacke mit Ransomware. Auch wenn grundsätzlich kein Lösegeld gezahlt werden sollte, gibt es leider keine pauschale Antwort, da es schließlich die einzige Chance für das Opfer sein kann, eine geschäftliche Katastrophe abzuwenden. Wie der „Sophos State of Ransomware Report 2021“ allerdings deutlich macht, ist das Zahlen des Lösegelds bei Weitem kein Garant für die komplette Datenwiederherstellung. Nur 8% der Befragten, die das Lösegeld bezahlten, bekamen im Anschluss alle ihre Daten zurück. „Alle die sich schon einmal gesagt haben, dass es doch keinen großen Schaden für andere anrichten kann, eben das Lösegeld zu zahlen, um Zeit und Aufwand für die Wiederherstellung zu sparen, sollten es besser wissen“, so Paul Ducklin, Senior Technologist bei Sophos. „Das Geschäftemachen mit den Cyberkriminellen ist ein Spiel mit dem Feuer, und zugleich sollte sich jeder darüber im Klaren sein, dass das Erpressungsgeld nicht nur für privaten Luxus ausgegeben wird, sondern auch für immer neue Attacken und Technologien, wodurch das Wachstum des Cybercrime-Geschäfts im Ganzen getrieben wird.“