Die LockBit-Ransomware ist nicht verschwunden, sie hat sich angepasst

Jahrelang agierte die LockBit-Ransomware als eine der produktivsten Ransomware-as-a-Service-Operationen (RaaS) weltweit und vermietete ihre Verschlüsselungstools und -infrastruktur an ein Netzwerk von Affiliates, die Angriffe im Austausch für einen Anteil an der Lösegeldsumme durchführten. Als Strafverfolgungsbehörden die Operation Cronos starteten, ein internationaler Schlag gegen LockBits Server, Leak-Seiten und Affiliate-Infrastruktur, gingen viele davon aus, dass die Herrschaft der Gruppe beendet sei. Stattdessen ist die Operation mit LockBit 5.0 wieder aufgetaucht, einer aktualisierten Version der Schadsoftware, die die Lehren aus der Unterbrechung widerspiegelt.

Zu verstehen, wie diese Ransomware funktioniert und wie sie sich verändert hat, ist nicht nur für IT-Abteilungen von Bedeutung. Ransomware-Angriffe legen regelmäßig Kundendaten, Mitarbeiterdaten und vertrauliche Geschäftsunterlagen offen, sodass die Folgen einer erfolgreichen Infiltration oft zu einem Datenschutzvorfall für alle werden, deren Informationen auf dem kompromittierten Netzwerk gespeichert waren.

Wie LockBit als RaaS-Geschäft funktioniert

LockBit funktioniert weniger wie eine einzelne Hackergruppe, sondern eher wie ein kriminelles Franchise-Unternehmen. Die Kernentwickler warten die Verschlüsselungssoftware und verhandeln die Infrastruktur, während unabhängige Affiliates die eigentliche Infiltration durchführen, sich durch das Netzwerk eines Opfers bewegen, Daten stehlen und die Ransomware-Nutzlast einsetzen. Da so viele verschiedene Affiliates denselben LockBit-Werkzeugkasten verwenden, kann der Begriff „LockBit-Angriff“ je nach dem ausführenden Affiliate völlig unterschiedliche Eindringmethoden und Verhaltensweisen beschreiben.

Dieses Affiliate-Modell ist es, was LockBit so hartnäckig gemacht hat. Selbst wenn bestimmte Personen verhaftet oder Infrastruktur beschlagnahmt wird, wie es bei der Operation Cronos der Fall war, können das breitere Netzwerk von Affiliates und der Ruf der Marke LockBit jeden einzelnen Schlag überdauern. Das ist einer der Gründe, warum LockBit 5.0 entstand, anstatt dass die Gruppe einfach verschwand.

Die meisten LockBit-Einbrüche folgen einem doppelten Erpressungsmodell: Angreifer exfiltrieren zunächst sensible Dateien, verschlüsseln dann Systeme und drohen schließlich mit der Veröffentlichung der gestohlenen Daten, falls kein Lösegeld gezahlt wird. Dies ist dieselbe Drucktaktik, die auch bei anderen hochkarätigen Erpressungsfällen zu beobachten war, wie zum Beispiel bei dem Vorfall, bei dem ein Hacker unter dem Pseudonym „888“ behauptete, 35 GB Quellcode von Accenture gestohlen zu haben, was zeigt, wie gestohlene Unternehmensdaten selbst ohne Ransomware-Verschlüsselung als Druckmittel genutzt werden können.

Was die Operation Cronos verändert hat und was LockBit 5.0 bringt

Die Operation Cronos störte die Leak-Seiten und die Backend-Infrastruktur von LockBit und zwang die Gruppe, das Vertrauen der Affiliates wiederherzustellen und zu beweisen, dass sie immer noch effektiv agieren kann. LockBit 5.0 stellt diese Wiederaufbaubemühung dar: eine weiterentwickelte Version der Schadsoftware, die darauf ausgelegt ist, die aus der Zerschlagung gelernten Lektionen in puncto Betriebssicherheit zu umgehen.

Für Verteidiger besteht die wichtigste Erkenntnis nicht in den spezifischen technischen Anpassungen einer neuen Malware-Version, sondern im Muster. Ransomware-Operationen, die gestört werden, verschwinden selten vollständig. Sie benennen sich um, schließen ihre Schwachstellen und kehren mit aktualisierten Werkzeugen zurück. Es ist ein Fehler, einen Schlag der Strafverfolgungsbehörden als Ende der Bedrohung zu betrachten; Unternehmen müssen davon ausgehen, dass LockBit-ähnliche Operationen – ob von der ursprünglichen Gruppe oder von Nachahmer-Affiliates mit geleakten Builder-Tools – weiterhin Netzwerke mit schwachen Verteidigungen ins Visier nehmen werden.

Erkennung, Reaktion und Wiederherstellung

Da LockBit-Affiliates in ihren Techniken variieren, blockiert keine einzelne Maßnahme jeden Angriff. Eine wirksame Verteidigung beruht auf der Schichtung mehrerer Schutzmaßnahmen:

  • Offline-Backups pflegen, die getestet wurden, damit verschlüsselte Systeme ohne Lösegeldzahlung wiederhergestellt werden können
  • Multi-Faktor-Authentifizierung an Fernzugriffspunkten erzwingen, da kompromittierte Anmeldedaten nach wie vor ein häufiger Einstiegsweg für Affiliates sind
  • Systeme mit Internetkontakt umgehend patchen, da ungepatchte Schwachstellen häufig für den Erstzugriff ausgenutzt werden
  • Endpoint-Detection-Tools einsetzen, die laterale Bewegungen und Rechteausweitungen erkennen können, die typischerweise der Verschlüsselung vorausgehen
  • Netzwerke segmentieren, damit ein einzelnes kompromittiertes Gerät nicht ohne Weiteres kritische Systeme oder Backup-Repositories erreichen kann

Eine schnelle Erkennung während der Datenexfiltrationsphase, bevor die Verschlüsselung beginnt, bietet die beste Chance, den Schaden zu begrenzen und einen kostspieligen Wiederherstellungsprozess zu vermeiden.

Was das für Sie bedeutet

Selbst wenn Sie kein IT-Administrator sind, wirkt sich die Aktivität von LockBit indirekt auf Sie aus. Ransomware-Angriffe auf Krankenhäuser, Einzelhändler, Dienstleister und Regierungsbehörden legen regelmäßig die personenbezogenen Daten von Kunden und Patienten offen, die keinerlei Anteil an dem Vorfall hatten. Wenn ein Unternehmen, mit dem Sie interagieren, einen Ransomware-Vorfall meldet, nehmen Sie das ernst: Überwachen Sie Ihre Konten auf ungewöhnliche Aktivitäten, ändern Sie wiederverwendete Passwörter und achten Sie auf Phishing-Versuche, die sich auf den Vorfall beziehen. Für Unternehmen ist das Auftauchen von LockBit 5.0 eine Mahnung, dass eine vergangene Strafverfolgungsmaßnahme gegen eine Ransomware-Gruppe keine Garantie für langfristige Sicherheit ist.

Umsetzbare Handlungsempfehlungen

  • Gehen Sie davon aus, dass durch Strafverfolgung gestörte Ransomware-Gruppen unter neuen Versionen zurückkehren können; lassen Sie Ihre Wachsamkeit nicht nach
  • Priorisieren Sie Offline-Backups und MFA als grundlegenden Schutz gegen Ransomware-as-a-Service-Angriffe
  • Wenn Sie über einen Vorfall mit LockBit oder ähnlicher Ransomware benachrichtigt werden, überwachen Sie Ihre persönlichen Konten und seien Sie wachsam gegenüber nachfolgenden Phishing-Versuchen
  • Bleiben Sie über sich verändernde Ransomware-Taktiken informiert, denn Affiliate-gesteuerte Operationen wie LockBit passen ihre Methoden ständig an

LockBit-Ransomware bleibt eines der deutlichsten Beispiele dafür, wie widerstandsfähig und anpassungsfähig moderne Cybercrime-Operationen geworden sind. Informiert zu bleiben über die Entwicklung dieser Gruppen und praktische Verteidigungsschritte zu unternehmen, bleibt der effektivste Weg, um das Risiko sowohl für Unternehmen als auch für die Personen, deren Daten sie speichern, zu verringern.