Eine als CRPx0 bekannte Ransomware-Variante zieht die Aufmerksamkeit von Datenrettungsspezialisten auf sich und erweitert eine wachsende Liste von Malware-Familien, die auf eine besonders aggressive Taktik setzen: Double Extortion. Anstatt Opfer einfach von ihren eigenen Dateien auszusperren, kopieren die Angreifer hinter CRPx0 und ähnlichen Varianten sensible Daten, bevor sie diese verschlüsseln, und drohen dann, diese Daten öffentlich zu machen, falls kein Lösegeld gezahlt wird. Diese Strategie ist in der Ransomware-Landschaft immer häufiger anzutreffen, und zu verstehen, wie sie funktioniert, ist der erste Schritt, um sich selbst oder Ihr Unternehmen zu schützen.

Was Double Extortion so effektiv macht

Traditionelle Ransomware-Angriffe folgten einer einfachen Formel: Dateien eines Opfers verschlüsseln und dann eine Zahlung für den Entschlüsselungsschlüssel verlangen. Wenn das Opfer über zuverlässige Backups verfügte, konnte es seine Systeme oft ohne einen Cent wiederherstellen. Double Extortion schließt diese Lücke.

Indem sie Kopien von Dateien exfiltrieren, bevor die Verschlüsselung überhaupt beginnt, schaffen die Angreifer ein Druckmittel, das Backups nicht neutralisieren können. Selbst wenn ein Unternehmen seine Systeme aus einem sauberen Backup wiederherstellt, besitzen die Kriminellen immer noch gestohlene Daten und können drohen, diese zu veröffentlichen, zu verkaufen oder an Konkurrenten und Aufsichtsbehörden weiterzugeben. Diese Entwicklung hat Ransomware profitabler gemacht und es schwieriger, sich allein mit Backups vollständig dagegen zu schützen.

Die Mechanismen hinter diesen Angriffen beruhen oft darauf, Schwächen in der Art und Weise auszunutzen, wie Unternehmen mit digitalem Vertrauen und Verschlüsselung umgehen. Konzepte wie Public Key Infrastructure (PKI) bilden die Grundlage für einen Großteil der legitimen Verschlüsselung, die zur Sicherung von Netzwerken verwendet wird, und Ransomware-Betreiber missbrauchen häufig ähnliche kryptographische Prinzipien auf umgekehrte Weise, indem sie starke Verschlüsselungsalgorithmen einsetzen, um Opfer von ihren eigenen Daten auszusperren. Ransomware als Bedrohungskategorie zu verstehen, nicht als einzelnes Schadprogramm, hilft zu erklären, warum immer wieder neue Varianten wie CRPx0 auftauchen: das zugrunde liegende Geschäftsmodell funktioniert weiterhin.

Ransomware-Angriffe nehmen zu, kein Rückgang in Sicht

Branchenbeobachtungen zufolge sind Ransomware-Angriffe im vergangenen Jahr um etwa 5 % gestiegen. Dieses Wachstum spiegelt einen breiteren Trend wider: Da immer mehr Unternehmen ihre Abläufe digitalisieren und sensible Informationen online speichern, erweitert sich der Pool potenzieller Ziele ständig. Lösegeldforderungen sind ebenfalls kalkulierter geworden; die Angreifer recherchieren oft die finanzielle Lage eines Opfers, bevor sie einen Preis festlegen, wobei die genauen Beträge je nach Ziel und Branche stark variieren.

Diese stetige Zunahme unterstreicht, warum allgemeine Ratschläge wie „einfach Backups machen“ allein nicht mehr ausreichen. Angreifer haben ihre Methoden speziell darauf ausgerichtet, diese Verteidigungsmaßnahme zu kontern, was bedeutet, dass Einzelpersonen und Unternehmen einen mehrschichtigen Ansatz benötigen, der Verschlüsselung, Zugriffskontrollen und Wachsamkeit gegenüber Phishing und Social-Engineering-Versuchen umfasst – Taktiken, die Angreifer häufig nutzen, um sich ersten Zugang zu einem Netzwerk zu verschaffen.

Die Rolle starker Verschlüsselung bei der Prävention

Ironischerweise ist genau die kryptographische Stärke, die Ransomware gegen Opfer einsetzt, auch eines der besten Werkzeuge zur Prävention. Das Verschlüsseln sensibler Dateien im Ruhezustand und bei der Übertragung, die Verwendung verifizierter SSL-Zertifikate für den Webverkehr und die Einführung zukunftsweisender Standards wie Post-Quanten-Kryptographie für den langfristigen Datenschutz verringern alle den Wert gestohlener Daten für die Angreifer. Wenn exfiltrierte Dateien bereits mit starken, ordnungsgemäß verwalteten Schlüsseln verschlüsselt sind, verliert die Androhung einer öffentlichen Veröffentlichung einen Großteil ihres Schreckens.

Social Engineering bleibt ein häufiger Einstiegspunkt für diese Angriffe, ähnlich den Taktiken, die bei anderen Methoden zum Diebstahl von Zugangsdaten zu beobachten sind, wie etwa den Signal-Backup-Key-Phishing-Angriffen, die Nutzer dazu verleiten, Wiederherstellungsdaten preiszugeben. Ransomware-Betreiber nutzen oft ähnlichen psychologischen Druck, geben sich als vertrauenswürdige Kontakte aus oder nutzen Dringlichkeit aus, um einen ersten Zugang zu erlangen, bevor sie ihre Verschlüsselungsnutzlast einsetzen.

Was das für Sie bedeutet

Ob Sie ein einzelner Nutzer sind oder die IT eines Kleinunternehmens verwalten – der Fall CRPx0 erinnert daran, dass die Ransomware-Abwehr über Backups hinausgehen muss. Wenn Ihre Dateien jemals bei einem Angriff exfiltriert werden, geht es nicht nur um die Frage „Kann ich meine Daten wiederherstellen?“, sondern auch darum, „Was passiert, wenn diese Daten öffentlich werden?“ Diese Umstellung sollte beeinflussen, wie Sie künftig mit sensiblen Dokumenten, Finanzunterlagen und persönlicher Kommunikation umgehen.

Praktisch bedeutet das, die Menge sensibler Daten zu minimieren, die an leicht zugänglichen Orten gespeichert werden, wirklich sensible Daten zu verschlüsseln, bevor sie überhaupt gefährdet sind, und unaufgeforderten Nachrichten, die Sie auffordern, auf Links zu klicken oder Zugangsdaten einzugeben, skeptisch gegenüberzustehen – denn Phishing ist nach wie vor der häufigste Weg, über den Ransomware eindringt.

Umsetzbare Maßnahmen

  • Bewahren Sie Offline-Backups auf, die verschlüsselt sind, sodass Ransomware sie nicht erreichen oder zusammen mit Ihren Live-Systemen verschlüsseln kann.
  • Verschlüsseln Sie sensible Dateien vor der Speicherung, damit gestohlene Kopien nur einen geringen Erpressungswert haben.
  • Schulen Sie sich und Ihr Team darin, Phishing-Versuche zu erkennen – den häufigsten Einstiegspunkt für Ransomware.
  • Halten Sie Software und Systeme durch Patches auf dem neuesten Stand, um die von Angreifern ausgenutzten Schwachstellen zu schließen.
  • Vermeiden Sie es, Lösegeld zu zahlen, wann immer möglich; es gibt keine Garantie, dass gestohlene Daten nach einer Zahlung gelöscht werden.

Ransomware wie CRPx0 gedeiht durch mangelnde Vorbereitung. Diese Schritte jetzt, vor einem Angriff, zu unternehmen, ist weitaus effektiver, als sich hinterher um ein Entschlüsselungstool zu bemühen.