CISA bestätigt: BianLian-Ransomware hat 2024 auf Verschlüsselung verzichtet

CISA bestätigt einen großen Wandel in BianLians Taktik

Die Cybersecurity and Infrastructure Security Agency hat bestätigt, dass BianLian, eine Ransomware-Gruppe, die einst für die Lahmlegung von Krankenhausnetzwerken bekannt war, seit Januar 2024 vollständig auf die Verschlüsselung von Dateien verzichtet. Anstatt Daten zu verschlüsseln und für einen Entschlüsselungsschlüssel Lösegeld zu fordern, konzentriert sich die Gruppe jetzt ausschließlich darauf, sensible Daten zu stehlen und mit deren Veröffentlichung zu drohen, falls die Opfer nicht zahlen.

Diese Bestätigung ist bedeutsam, weil sie einen breiteren Wandel in der Arbeitsweise von Ransomware-Akteuren signalisiert. Jahrelang bestand das Standardvorgehen darin, die Dateien eines Opfers zu verschlüsseln, eine Lösegeldforderung zu hinterlassen und Unternehmen vor die Wahl zu stellen, für einen Entschlüsselungsschlüssel zu zahlen oder aus Backups wiederherzustellen. BianLians Abkehr von diesem Modell zeigt, dass Datendiebstahl allein – ohne den zusätzlichen Schritt der Verschlüsselung – ebenso profitabel und deutlich weniger aufwendig in der Durchführung sein kann.

Von Verschlüsselung zu Erpressung: Warum dieser Wandel wichtig ist

Die Verschlüsselung eines gesamten Netzwerks erfordert Zeit, Rechenressourcen und ein Maß an Zugriff, das die Wahrscheinlichkeit einer Entdeckung erhöht, bevor der Angriff abgeschlossen ist. Einfach Dateien aus einem Netzwerk zu kopieren und sich leise wieder zu entfernen, ist schneller, in Echtzeit schwerer zu erkennen und verschafft den Angreifern dennoch ein starkes Druckmittel. Wenn eine Gruppe Patientendaten, Finanzdokumente oder interne Kommunikation abziehen kann, reicht die Drohung, diese Daten öffentlich zu machen, oft aus, um ein Opfer zur Zahlung zu bewegen.

Dieser Ansatz umgeht auch einige der Verteidigungsmaßnahmen, die Unternehmen gegen verschlüsselungsbasierte Angriffe aufgebaut haben. Viele Firmen haben stark in Backup- und Wiederherstellungssysteme investiert, um gezielt die Auswirkungen von Ransomware, die Dateien sperrt, abzumildern. Diese Backups nützen nichts gegen eine Gruppe, die die Integrität der Dateien nie angetastet hat, sondern die Daten lediglich kopierte und verschwand. Die Bestätigung dieses Wandels durch CISA passt zu einem Muster, das die Behörde aufmerksam verfolgt, einschließlich Fällen, in denen Ransomware-Gruppen dazu übergegangen sind, hochriskante Schwachstellen in großem Stil auszunutzen, sobald sie öffentlich bekannt werden. Dies zeigte sich, als CISA bestätigte, dass Ransomware-Banden die BlueHammer-Schwachstelle ausnutzen, und zwar in breitem Maßstab, anstatt sie für enge, gezielte Angriffe zu reservieren.

Gesundheitseinrichtungen bleiben im Fadenkreuz

BianLians Geschichte der Angriffe auf Krankenhausnetzwerke ist selbst mit dem Taktikwechsel der Gruppe weiterhin von Bedeutung. Gesundheitsorganisationen verfügen über einige der sensibelsten personenbezogenen Daten, die es gibt, darunter Krankengeschichten, Versicherungsdaten und Behandlungsunterlagen. Genau diese Sensibilität macht Erpressung durch Datendiebstahl in diesem Sektor so wirkungsvoll. Ein Krankenhaus, dem die Veröffentlichung oder der Verkauf von Patientendaten droht, hat starke Anreize, schnell zu zahlen – unabhängig davon, ob seine Systeme jemals verschlüsselt wurden.

Der anfängliche Zugang zu diesen Netzwerken hängt oft weiterhin von der Ausnutzung bekannter Schwachstellen ab – ein Muster, das CISA in seinem Katalog der Known Exploited Vulnerabilities wiederholt dokumentiert hat. Die jüngste Kennzeichnung einer Linux-Rechteausweitungslücke, die bereits aktiv ausgenutzt wird, veranschaulicht, dass Angreifer nach wie vor auf ungepatchte Systeme als Einstiegspunkt setzen, egal was sie im Inneren tun.

Was das für Sie bedeutet

Wenn Ihre Organisation mit sensiblen Daten umgeht – ob Krankenhaus, Kleinunternehmen oder jede andere Stelle, die Kundeninformationen speichert –, verändert dieser Wandel, wie „Ransomware-Schutz“ aussehen muss. Backup-Strategien bleiben wichtig, reichen allein aber nicht mehr aus. Datendiebstahl-Angriffe wie BianLians neuere Vorgehensweise zwingen Unternehmen dazu, ebenso stark auf die Verhinderung unberechtigter Zugriffe und die Überwachung ungewöhnlicher abgehender Datenübertragungen zu achten. Denn der Schaden entsteht in dem Moment, in dem Dateien das Netzwerk verlassen, nicht erst, wenn sie verschlüsselt werden.

Für Einzelpersonen ist die Erkenntnis persönlicherer Natur. Wenn eine Organisation, die Ihre medizinischen Daten, Finanzdaten oder persönlichen Informationen speichert, Opfer eines Datendiebstahl-Angriffs wird, sehen Sie vielleicht nie eine Lösegeldforderung und hören auch nichts von verschlüsselten Systemen. Das erste Anzeichen für ein Problem könnte einfach ein Benachrichtigungsschreiben über eine Datenpanne sein – oder schlimmer, die Entdeckung, dass Ihre Daten zum Verkauf angeboten werden oder öffentlich im Netz stehen.

Umsetzbare Handlungsempfehlungen

Unternehmen sollten Netzwerküberwachungstools priorisieren, die in der Lage sind, große oder ungewöhnliche Datenübertragungen zu melden, nicht nur ransomware-spezifische Verschlüsselungsalarme. Das schnelle Patchen bekannter Schwachstellen bleibt essenziell, da der erste Zugriff nach wie vor in der Regel von der Ausnutzung ungepatchter Systeme abhängt. Privatpersonen sollten wachsam gegenüber Benachrichtigungen über Datenschutzverletzungen von Gesundheitsdienstleistern und Finanzinstituten bleiben und im Fall des Erhalts einer solchen Benachrichtigung eine Kreditüberwachung oder Identitätsdiebstahlversicherung in Betracht ziehen. Während sich Ransomware-Gruppen wie BianLian in ihrer Methodik weiter anpassen, ist es der beste verfügbare Schutz, über diese Veränderungen informiert zu bleiben, anstatt davon auszugehen, dass die Verteidigungsmaßnahmen von gestern auch die Bedrohungen von heute abdecken.