GandCrab-Ransomware: Einblicke in das 70%-Affiliate-Modell

Lange bevor Ransomware-Angriffe zur wöchentlichen Schlagzeile wurden, schrieb eine Malware-Familie leise die Regeln der Cyberkriminalität neu. GandCrab erpresste nicht nur Opfer, es baute ein ganzes Geschäft um die Erpressung herum auf – komplett mit Affiliate-Verträgen, Leistungskennzahlen und Kundenservice. Sicherheitsforscher von McAfee untersuchten, wie die Operation tatsächlich funktionierte, und was sie fanden, liest sich weniger wie eine Hacking-Fallstudie und mehr wie ein Franchise-Vertrag. Das Verständnis der Struktur von GandCrab ist heute wichtig, weil das Ransomware-as-a-Service-Modell, das es populär machte, immer noch das dominierende Format hinter modernen Angriffen ist.

Was GandCrab anders machte: Ein Affiliate-Geschäftsmodell

Die meisten Menschen stellen sich Ransomware als das Werk eines einzelnen Hackers vor, der bösartigen Code platziert. GandCrab funktionierte anders. Laut der Analyse von McAfee führten die Entwickler hinter GandCrab die Angriffe nicht selbst durch. Stattdessen warben sie Affiliates an, die die Malware verbreiteten und die tatsächlichen Infektionen durchführten, während die Kernbetreiber einen Anteil am Erlös einbehielten.

Dieser Anteil war beträchtlich: Affiliates behielten 70% der Lösegeldzahlungen, der Rest floss an die Entwickler, die den Code warteten. Diese Umsatzaufteilung incentivierte Affiliates, Masse zu erzeugen, und verschaffte den Betreibern einen stetigen Einkommensstrom, ohne dass sie einen einzigen Opferrechner direkt anfassen mussten.

Die Vereinbarung brachte auch Rechenschaftspflicht mit sich. McAfee fand heraus, dass Affiliates, die schlechte Leistungen erbrachten, aus dem Programm ausgeschlossen wurden – ein Detail, das unterstreicht, wie geschäftsähnlich die Operation geworden war. Geringe Ausbeute bedeutete Kündigung, dieselbe Logik, die jedes Verkaufsteam regiert, das nach Quoten gemessen wird. Die Malware selbst war auch so konstruiert, dass sie Rechner in Russland und anderen ehemaligen Sowjetstaaten übersprang, ein häufiges Muster bei Ransomware-Gruppen, von denen angenommen wird, dass sie aus dieser Region operieren, vermutlich um Strafverfolgungsaufmerksamkeit im eigenen Land zu vermeiden.

Das technische Spielbuch: Verschlüsselung, Löschung von Schattenkopien und Entschlüsselungsnachweis

Unter der Geschäftsstruktur lag ein wirklich effektives Stück bösartiger Technik. GandCrab kombinierte AES- und RSA-Verschlüsselung und schichtete symmetrische und asymmetrische Kryptografie, sodass Opfer den Prozess ohne den privaten Schlüssel des Angreifers nicht einfach umkehren konnten. Sobald Dateien gesperrt waren, löschte die Malware Windows-Schattenkopien, die integrierten Backup-Snapshots, auf die viele Benutzer sich verlassen, um Dateien nach einem Systemproblem wiederherzustellen. Das Entfernen dieser Kopien versperrte einen der einfachsten Wiederherstellungswege, die Opfern zur Verfügung standen, die keine separaten Offline-Backups gepflegt hatten.

Um zu beweisen, dass die Lösegeldforderung legitim und kein Bluff war, bauten die Betreiber einen Mechanismus ein, um eine Datei kostenlos zu entschlüsseln. Diese kleine Geste diente einem spezifischen psychologischen Zweck: Sie zeigte, dass Zahlen tatsächlich den Zugriff wiederherstellen würde, wodurch Opfer eher bereit waren, die Zahlung durchzuziehen, anstatt ihre Daten als Totalverlust abzuschreiben.

Dark-Web-Support und Dash-Auszahlungen: Erpressung als Kundenservice

Der vielleicht ungewöhnlichste Aspekt der GandCrab-Operation war, wie sie Opfer behandelte, sobald die Lösegeldforderung erschien. Die Gruppe bot rund um die Uhr Dark-Web-Support an und betrieb damit faktisch eine Helpdesk-Hotline für Menschen, die erpresst wurden. Opfer, die sich über Zahlungsschritte oder Entschlüsselungsanweisungen unsicher waren, konnten Hilfe erhalten – eine Serviceschicht, die den gesamten Prozess unangenehm nah an legitimen Kundensupport heranbrachte.

Die Zahlungen selbst wurden über Dash abgewickelt, nicht über das häufiger diskutierte Bitcoin. Dash bietet schnellere Transaktionszeiten und zusätzliche Datenschutzfunktionen, was es zu einer attraktiven Wahl für eine Operation machte, die Auszahlungen über ein verteiltes Affiliate-Netzwerk abwickeln musste und gleichzeitig die Rückverfolgbarkeit begrenzen wollte.

Was das für Ihre Sicherheitsarchitektur heute bedeutet

GandCrab ist genau deshalb eine nützliche Fallstudie, weil das Ransomware-as-a-Service-Modell, das es verfeinerte, nie verschwunden ist. Affiliate-Strukturen, gestaffelte Auszahlungen und Dark-Web-Supportkanäle bleiben heute Standardmerkmale von Ransomware-Operationen. Der Check Point-Bericht über 2.139 Ransomware-Opfer im Q2 2026 zeigt, wie stark dieser Affiliate-getriebene Ansatz skaliert ist, und bestätigt, dass das Spielbuch, das GandCrab mit etablierte, weiterhin echte Opfer in echtem Ausmaß erzeugt.

Für normale Benutzer und kleine Unternehmen sind die defensiven Lektionen unverändert. Da Ransomware wie GandCrab Schattenkopien löscht, um eine einfache Wiederherstellung zu blockieren, sind Offline- und Cloud-Backups, die getrennt von Ihrem Hauptsystem gespeichert werden, essenziell und nicht optional. Endpoint-Security-Tools, die bösartiges Verschlüsselungsverhalten erkennen, bevor es einen vollständigen Durchlauf durch Ihre Dateien abschließt, bieten eine weitere Schutzschicht. Ein seriöses VPN stoppt Ransomware nicht allein, aber es reduziert die Exposition in öffentlichen Netzwerken und begrenzt die Art von Netzwerk-Snooping, die manchmal gezielten Angriffen vorausgeht – insbesondere für Remote-Mitarbeiter und Mitarbeiter kleiner Unternehmen, die sich von verschiedenen Standorten aus verbinden.

Umsetzbare Erkenntnisse

Sichern Sie Ihre Dateien regelmäßig und halten Sie mindestens eine Kopie offline oder in einem Speicher, den die Ransomware über Ihr Netzwerk nicht erreichen kann. Halten Sie Betriebssysteme und Sicherheitssoftware aktuell, da viele Ransomware-Infektionen immer noch bekannte, patchbare Schwachstellen ausnutzen. Seien Sie skeptisch gegenüber unaufgeforderten Anhängen und Links, da Affiliate-getriebene Kampagnen stark auf massenhaftem Phishing basieren, um Opfer zu finden. Behandeln Sie schließlich jedes einzelne Sicherheitstool – ob VPN, Antivirus oder Backup-Lösung – als ein Teil einer verteidigenden Schicht und nicht als vollständige Antwort. GandCrab hat bewiesen, dass Ransomware-Betreiber wie Geschäftsleute denken; Ihre Verteidigung sollte genauso durchdacht sein.