M3RX-Ransomware erhebt Anspruch auf spanische Firma Tecnoabi, 300 GB gestohlen

Ein neuer Name erscheint auf einer Ransomware-Leak-Site

Eine relativ junge Ransomware-Gruppe namens M3RX hat Tecnologías de Código Abierto S.L., einen in Málaga ansässigen Softwareentwickler, der kommerziell als Tecnoabi bekannt ist, auf ihrer Dark-Web-Leak-Site hinzugefügt. Die Gruppe behauptet, 300 GB Unternehmensdaten von dem Unternehmen exfiltriert zu haben, obwohl diese Behauptungen – wie bei den meisten Ransomware-Erpressungsposts – zum Zeitpunkt der Veröffentlichung weder von Tecnoabi noch von einem Dritten unabhängig verifiziert wurden.

Tecnoabi ist ein Business-to-Business-Softwareentwicklungsunternehmen, das 2008 gegründet und in Spanien registriert wurde. Unternehmen wie dieses entwickeln typischerweise kundenspezifische Anwendungen, Integrationen oder Backend-Systeme für andere Unternehmen, was bedeutet, dass alle Daten, die das Unternehmen besitzt, nicht nur eigene Unternehmensunterlagen, sondern auch Code, Zugangsdaten oder Konfigurationsdetails enthalten könnten, die mit seinen Kunden verbunden sind. Diese Unterscheidung ist bei der Bewertung der potenziellen Auswirkungen eines solchen Verstoßes auf nachgelagerte Systeme von großer Bedeutung.

Warum sich ein Verstoß bei einem Software-Anbieter unterscheidet

Wenn eine Ransomware-Bande einen B2B-Softwareentwickler ins Visier nimmt und nicht einen Einzelhändler oder ein Krankenhaus, können die Auswirkungen weit über das Unternehmen selbst hinausgehen. Software-Anbieter besitzen oft Quellcode, API-Schlüssel, Bereitstellungszugangsdaten und interne Dokumentation für die Systeme, die sie für Kunden entwickeln. Wenn einer der behaupteten 300 GB gestohlener Daten solches Material enthält, könnte die Offenlegung theoretisch Türen in die Netzwerke der Kunden von Tecnoabi öffnen – nicht nur in die des Unternehmens selbst.

Dieses Muster gezielter Angriffe auf die Lieferkette ist zu einem wiederkehrenden Thema in der Ransomware-Berichterstattung geworden. Angreifer erkennen zunehmend, dass die Kompromittierung eines einzelnen Anbieters einen Einstiegspunkt in Dutzende nachgelagerter Organisationen auf einmal bieten kann. Dies spiegelt breitere Trends wider, die bereits in Europa sichtbar sind, wo Frankreich innerhalb von zwei Jahren 145 Millionen Datenschutzverletzungen verzeichnet hat, während die Ransomware-Aktivität gegen Organisationen auf dem Kontinent stark zugenommen hat. Spanien ist – wie seine Nachbarn – von diesem Trend nicht verschont geblieben, und Vorfälle mit kleineren, aber strategisch positionierten Software-Anbietern werden in der Region immer häufiger.

Wie Gruppen wie M3RX Zugang erhalten

Ransomware-Betreiber müssen heutzutage selten mit roher Gewalt eine Firewall durchbrechen. Viele erlangen Erstzugriff durch Social Engineering, die Ausnutzung überlasteter IT-Helpdesks oder den Missbrauch vertrauenswürdiger Kollaborationstools. Ein aktuelles Beispiel betraf Angreifer, die sich als gefälschte IT-Support-Mitarbeiter auf Microsoft Teams ausgaben, um eine Ransomware-Serie anzzuheizen, die sich über mehrere Organisationen erstreckte. Dies zeigt, wie effektiv technikarme Täuschung gegen ansonsten gut verteidigte Netzwerke sein kann. Ob M3RX eine ähnliche Taktik gegen Tecnoabi verwendet hat, wurde nicht offengelegt, aber das breitere Muster, dass Angreifer menschliches Vertrauen statt Software-Schwachstellen ausnutzen, dominiert weiterhin die Ransomware-Landschaft.

Erpressungsbasierte Ransomware-Gruppen, einschließlich neuerer und weniger bekannter Akteure, folgen tendenziell einem vertrauten Drehbuch: in ein Netzwerk eindringen, Daten über Tage oder Wochen ruhig exfiltrieren, Verschlüsselung einsetzen, um den Betrieb zu stören, und dann das Opfer auf einer Leak-Site auflisten, um Zahlungsdruck auszuüben. Dieses Modell der doppelten Erpressung wurde wiederholt angewendet, wie auch in anderen aktuellen Fällen zu sehen ist, beispielsweise bei der ShinyHunters-Behauptung gegen Baker Distributing, bei der gestohlene Datensätze in einer ähnlichen Strategie der öffentlichen Bloßstellung als Druckmittel eingesetzt wurden.

Was das für Sie bedeutet

Wenn Sie ein Kunde, Partner oder Mitarbeiter sind, der mit Tecnoabi oder einem anderen B2B-Softwareanbieter verbunden ist, erinnert Sie dieser Vorfall daran, dass Ihre Datensicherheit teilweise von Anbietern abhängt, mit denen Sie möglicherweise nie direkt interagieren. Es lohnt sich, jeden Softwarepartner, auf den Sie sich verlassen, nach seinen Incident-Response-Plänen, Datensegmentierungspraktiken und Fristen für die Benachrichtigung bei Sicherheitsverletzungen zu fragen.

Für die allgemeine Öffentlichkeit ist die Tecnoabi-Listung ein kleinerer Datenpunkt in einem viel größeren Muster: Ransomware-Gruppen zielen nicht nur auf Krankenhäuser und Einzelhändler ab, sondern auch auf die ruhigere Infrastrukturebene von Softwareentwicklungsfirmen, die unzählige andere Unternehmen am Laufen halten. Diese Verschiebung bedeutet, dass das Datenschutzrisiko zunehmend über Lieferketten verteilt ist, anstatt auf eine Handvoll prominenter Ziele konzentriert zu sein.

Umsetzbare Erkenntnisse

• Wenn Sie Geschäfte mit Tecnoabi machen oder Software verwenden, die es entwickelt hat, verfolgen Sie offizielle Mitteilungen genau und fragen Sie direkt nach, ob Ihre Daten oder Zugangsdaten betroffen sein könnten.
• Rotieren Sie alle API-Schlüssel, Passwörter oder Zugriffstokens, die Sie mit Drittanbieter-Softwareanbietern teilen, regelmäßig – nicht erst nach der Ankündigung eines Verstoßes.
• Behandeln Sie unaufgeforderte IT-Supportanfragen, selbst über vertrauenswürdige Plattformen, mit Skepsis und verifizieren Sie über einen separaten Kanal, bevor Sie Zugriff gewähren.
• Behalten Sie Verstoßüberwachungsdienste und Dark-Web-Leak-Site-Tracker im Auge, wenn Ihre Organisation eng mit kleineren Softwareanbietern zusammenarbeitet.

Ransomware-Gruppen wie M3RX werden wahrscheinlich weiterhin mittelgroße Softwareentwickler ins Visier nehmen, gerade weil diese an der Schnittstelle zwischen wertvollen Daten und schwächeren Sicherheitsbudgets stehen. Informiert zu bleiben über Vorfälle wie die Tecnoabi-Listung und Anbieter zur Transparenz zu drängen, bleibt einer der praktischsten Schritte, den Organisationen und Einzelpersonen unternehmen können, um ihre Gefährdung zu begrenzen.