Eine neue Ransomware-Operation macht potenziellen Kriminellen ein aggressives Angebot. Laut Berichten von eSecurity Planet bietet Dark Project Affiliates 80 % der Erpressungszahlungen und behauptet, bislang 38 Opfer zu haben. Das Affiliate-Modell von Dark Project ist eine Erinnerung daran, dass sich die Ökonomie der Erpressung weiter zugunsten der Angreifer verschiebt und dass gewöhnliche Menschen oft die Folgen spüren, wenn eine Organisation, die ihre Daten hält, getroffen wird.

Dieser Beitrag behandelt, was aus der Berichterstattung bekannt ist, warum die Auszahlungsstruktur wichtig ist und was sowohl Organisationen als auch Einzelpersonen tun können. Das Quellmaterial ist knapp, daher halten wir uns an das, was es bestätigt: den 80-prozentigen Affiliate-Anteil und die Behauptung von 38 Opfern.

Wie die 80-prozentige Affiliate-Auszahlung von Dark Project funktioniert

Dark Project folgt dem Ransomware-as-a-Service-(RaaS-)Modell. Bei einer RaaS-Vereinbarung baut und wartet eine Kerngruppe die Malware und die Infrastruktur darum herum. Affiliates, also separate Betreiber, führen die eigentlichen Eindringversuche und Erpressungsversuche durch. Wenn ein Opfer zahlt, wird das Geld zwischen den beiden Seiten aufgeteilt.

Hier gibt die berichtete Aufteilung den Affiliates 80 % jeder Erpressungszahlung. Die Betreiber behalten den Rest. Die Zahl von 38 Opfern ist eine Behauptung der Gruppe, was bedeutet, dass sie als unbestätigt behandelt werden sollte, bis sie von den beteiligten Organisationen oder unabhängigen Forschern bestätigt wird.

Die Arbeitsteilung ist der Kern des Modells. Die Entwickler konzentrieren sich auf Tooling, Leak-Sites und Verhandlungsinfrastruktur. Die Affiliates konzentrieren sich darauf, hineinzukommen. Jede Seite leistet weniger Arbeit, als eine vollständig unabhängige Crew leisten müsste, weshalb sich das Modell so weit verbreitet hat. Für einen tieferen Einblick, wie eine etablierte Gruppe unter diesem Ansatz operiert hat, lesen Sie unser BlackCat/ALPHV-Ransomware-Profil.

Warum großzügige RaaS-Aufteilungen die Hürde für Erpressung senken

Ein hoher Affiliate-Anteil ist ein Rekrutierungswerkzeug. Neuere Gruppen müssen gegen etablierte Marken um erfahrene Eindringlinge konkurrieren, und ein größerer Anteil ist eine Möglichkeit, sie anzuziehen. Ein Anteil von 80 % macht das Angebot finanziell attraktiv für jeden, der Zugang zu einem Netzwerk erlangen kann.

Es gibt auch einen Kompetenzeffekt. Weil die Plattform das Verschlüsselungs-Tooling und die Leak-Infrastruktur bereitstellt, muss ein Affiliate weder Malware schreiben noch eine Verhandlungsoperation betreiben. Das senkt die technische Hürde und erweitert den Kreis der Personen, die einen Angriff versuchen können.

Das Ergebnis sind mehr Versuche, verteilt auf mehr Ziele, darunter Organisationen, die sensible Datensätze über Menschen halten, aber über begrenzte Sicherheitsbudgets verfügen. Das Muster ist bei Vorfällen wie dem Ransomware-Angriff auf eine gemeinnützige Organisation, die Überlebende von Menschenhandel unterstützt, sichtbar, bei dem die Bedeutung weniger aus technischer Raffinesse als daraus resultierte, wer betroffen war.

Worauf Organisationen achten und was sie härten sollten

Da die Affiliates diejenigen sind, die eindringen, sollten sich Verteidiger auf die üblichen Wege in ein Netzwerk konzentrieren und nicht auf die Markenbildung einer einzelnen Gruppe. Praktische Prioritäten sind:

  • Fernzugriff: Überprüfen Sie VPN, Remote Desktop und andere extern exponierte Dienste. Erzwingen Sie Multi-Faktor-Authentifizierung und patchen Sie zeitnah.
  • Anmeldedaten: Achten Sie auf ungewöhnliche Logins, wiederverwendete Passwörter und Konten mit übermäßigen Berechtigungen.
  • Datenbewegungen: Überwachen Sie große oder unerwartete ausgehende Übertragungen, da moderne Angriffe typischerweise das Stehlen von Daten vor der Verschlüsselung beinhalten.
  • Backups: Halten Sie Offline- oder unveränderliche Kopien und testen Sie die Wiederherstellung regelmäßig. Backups helfen bei der Wiederherstellung, machen aber Datendiebstahl nicht rückgängig. Unsere Erklärung zur doppelten Erpressung erklärt, warum.
  • Überwachung von Leak-Sites: Verfolgen Sie, ob Ihre Organisation oder Ihre Dienstleister auf Erpressungsseiten erscheinen, damit Sie frühzeitig handeln können.

Was das für Sie bedeutet

Die meisten Menschen werden nie das direkte Ziel eines RaaS-Affiliates sein. Die Exposition erfolgt aus zweiter Hand: Ein Arbeitgeber, Versicherer, Gesundheitsdienstleister oder eine Fluggesellschaft hält Ihre Daten, und diese Organisation wird angegriffen. Wenn Erpressungsgruppen gestohlene Dateien veröffentlichen, können sich die Informationen weit verbreiten, wie bei der Veröffentlichung von 8,7 Millionen Datensätzen von Reisenden britischer Flughäfen.

Wenn ein von Ihnen genutzter Dienst getroffen wird, erwägen Sie diese Schritte:

  1. Lesen Sie die offizielle Mitteilung sorgfältig. Notieren Sie, welche Datenkategorien betroffen waren und welcher Schutz angeboten wird, etwa Kreditüberwachung.
  2. Ändern Sie Ihr Passwort für diesen Dienst und für jedes andere Konto, bei dem Sie es wiederverwendet haben. Verwenden Sie einen Passwortmanager, um eindeutige Passwörter zu erstellen.
  3. Aktivieren Sie Multi-Faktor-Authentifizierung, wo immer sie verfügbar ist.
  4. Achten Sie auf Phishing. Gestohlene Kontaktdaten werden oft für überzeugende Folge-Betrugsversuche verwendet, die auf die Datenpanne verweisen. Klicken Sie nicht auf Links in unerwarteten Nachrichten; gehen Sie direkt auf die Website der Organisation.
  5. Überwachen Sie Finanzkonten und erwägen Sie eine Kreditsperre, wenn Identifikatoren wie Sozialversicherungsnummern offengelegt wurden.
  6. Bewahren Sie Aufzeichnungen über Mitteilungen und jegliche verdächtige Aktivität auf.

Das Fazit

Das Affiliate-Modell von Dark Project veranschaulicht einen dauerhaften Trend: Wenn die Umsatzaufteilung die Person begünstigt, die den Eindringversuch durchführt, sind mehr Menschen bereit, es zu versuchen. Die bislang behaupteten 38 Opfer sind unbestätigt, aber die Struktur dahinter ist es, worauf es ankommt. Organisationen sollten Zugangspunkte härten und auf Datendiebstahl achten, und Einzelpersonen sollten bereit sein, schnell zu handeln, wenn ein Unternehmen, dem sie vertrauen, eine Datenpanne offenlegt.

Um zu verstehen, warum die Wiederherstellung aus Backups moderne Erpressung nicht stoppt, lesen Sie unsere Erklärung zur doppelten Erpressung. Um zu sehen, was gestohlene Daten für echte Menschen bedeuten können, lesen Sie unsere Berichterstattung über die Beacon-Mutual-Ransomware-Datenpanne.