Neue Forschung verknüpft Infrastruktur von INC Ransom, Lynx und LockBit

Neue Forschung zur technischen Infrastruktur hinter mehreren großen Ransomware-Operationen, darunter INC Ransom, Lynx, MedusaLocker und LockBit-bezogene Aktivitäten, hat ergeben, dass diese Gruppen trotz unterschiedlicher Markennamen auf frappierend ähnliche Angriffsmuster zurückgreifen. Diese Konstanz ist für jeden wichtig, der Ransomware verstehen will, denn sie bedeutet, dass die Werkzeuge und Taktiken, mit denen Verteidiger eine Bande erwischen, oft gleichzeitig gegen mehrere andere wirken.

Gemeinsame Infrastruktur hinter verschiedenen Ransomware-Marken

Ransomware wird oft so dargestellt, als sei jede benannte Gruppe ein völlig eigenständiges kriminelles Unternehmen mit einem eigenen einzigartigen Vorgehen. Die Realität, die diese Forschung ans Licht bringt, ist unübersichtlicher und in gewisser Hinsicht nützlicher für die Verteidigung. Durch die Verfolgung der Infrastruktur, also der Server, Command-and-Control-Kanäle und Staging-Systeme, die bei Angriffen im Zusammenhang mit INC Ransom, Lynx, MedusaLocker und LockBit verwendet wurden, fanden Forscher wiederkehrende technische Fingerabdrücke über angeblich unabhängige Kampagnen hinweg.

Diese Überschneidung spiegelt einen breiteren Trend wider, der auch anderswo im Ransomware-Ökosystem sichtbar ist. Wie in der Berichterstattung darüber, wie Ransomware-Gruppen mit 93 aktiven Crews einen Rekord erreichten, dargelegt wurde, hat sich das kriminelle Untergrundmilieu in eine große Zahl benannter Operationen aufgespalten, selbst während Kerntechniken und in manchen Fällen die tatsächliche Infrastruktur wiederverwendet oder geteilt werden. Ransomware-as-a-Service-Affiliates wechseln häufig zwischen Marken, und geleakte oder weiterverkaufte Toolkits führen dazu, dass verschiedene „Gruppen" unter der Haube sehr ähnlich aussehen können.

Erst stehlen, später verschlüsseln: Der Standard der doppelten Erpressung

Eines der klarsten Muster, die aus der Forschung hervorgehen, ist das Timing. Bevor sie überhaupt die Systeme eines Opfers sperren, exfiltrieren die meisten untersuchten Ransomware-Operationen zunächst still und heimlich sensible Daten. Die Verschlüsselung, der Teil des Angriffs, der bemerkt wird, weil Systeme plötzlich nicht mehr funktionieren, ist oft der letzte Schritt und nicht der erste.

Diese Abfolge ist das Rückgrat der doppelten Erpressung: Angreifer stehlen Daten unbemerkt, verschlüsseln dann Dateien und drohen anschließend, die gestohlenen Daten öffentlich zu veröffentlichen, wenn das Lösegeld nicht gezahlt wird. Das gibt Opfern zwei separate Gründe zu zahlen und gibt Angreifern Hebelwirkung, selbst wenn ein Unternehmen seine Systeme aus Backups wiederherstellen kann, ohne für einen Entschlüsselungsschlüssel zu zahlen. Diese Taktik ist so standardmäßig geworden, dass ihr Fehlen inzwischen die Ausnahme statt der Regel wäre, und sie deckt sich mit separaten Erkenntnissen dazu, wie sich Erpressungstaktiken verschieben, während Lösegeldzahlungen Rekordtiefs erreichen, was Gruppen zu härteren Drucktaktiken treibt, wenn Opfer sich weigern zu zahlen.

Warum frühe Erkennung jetzt die beste Verteidigung ist

Da Datendiebstahl typischerweise lange vor der Verschlüsselung stattfindet, gibt es oft ein Zeitfenster, manchmal Tage oder Wochen, in dem eine Kompromittierung im Gange ist, aber noch nicht zu einer ausgewachsenen Krise geworden ist. Die in dieser Forschung identifizierten Infrastrukturmuster geben Verteidigern eine Möglichkeit, dieses Fenster zu erkennen: wiederkehrendes Command-and-Control-Verhalten, Staging-Techniken und Netzwerksignaturen, die bei INC Ransom, Lynx, MedusaLocker und LockBit-verbundenen Aktivitäten auftauchen.

Das ist wichtig, weil der anfängliche Einbruch zunehmend das schwächste Glied ist, das Angreifer ausnutzen. Eine separate, auf dieser Seite behandelte Forschung ergab, dass 79 % der Ransomware-Vorfälle mit gestohlenen Zugangsdaten beginnen und nicht mit ausgefeilten Exploits. Kombiniert man das mit einer Infrastruktur, die sich vorhersehbar verhält, sobald Angreifer einmal drin sind, entsteht ein klareres Bild: Die meisten Ransomware-Angriffe sind keine unaufhaltsamen Zero-Day-Meisterleistungen. Sie beruhen auf gestohlenem Zugang und wiederverwendeten Werkzeugen, die beide erkennbare Spuren hinterlassen, wenn Organisationen wissen, wonach sie suchen müssen.

Was das für Sie bedeutet

Für Alltagsnutzer ist diese Forschung eine Erinnerung daran, dass Ransomware selten aus dem Nichts kommt. Sie folgt meist auf ein gestohlenes Passwort, eine Phishing-E-Mail oder einen exponierten Fernzugriffspunkt, und sie stiehlt in der Regel Daten lange bevor irgendetwas gesperrt wird oder eine Lösegeldforderung auftaucht. Für Unternehmen und IT-Teams ist die Schlussfolgerung direkter: Die Überwachung der Infrastrukturmuster, die große Ransomware-Familien gemeinsam haben, kann eine Eindringung während der Datendiebstahlphase erkennen, bevor es überhaupt zur Verschlüsselung kommt.

Für Einzelpersonen ist die praktische Verteidigung dieselbe wie eh und je: einzigartige Passwörter, Multi-Faktor-Authentifizierung und Vorsicht bei unerwarteten Anmeldeaufforderungen oder Anmeldedaten-Anfragen. Ransomware-Gruppen sind auf gestohlenen Zugang angewiesen, um durch die Tür zu kommen, sodass das Schließen dieses Zugangspunkts einen Großteil ihres Vorteils beseitigt, bevor die fortgeschritteneren Infrastrukturtaktiken überhaupt zum Einsatz kommen.

Wichtige Erkenntnisse

• Ransomware-Gruppen mit unterschiedlichen Namen teilen oft zugrunde liegende Infrastruktur und Taktiken, was bedeutet, dass Erkennungswerkzeuge, die für eine Bande entwickelt wurden, häufig auch für andere gelten.
• Datendiebstahl findet typischerweise vor der Verschlüsselung statt und schafft ein Erkennungsfenster, in dem Verteidiger handeln können.
• Gestohlene Zugangsdaten bleiben ein bevorzugter Einstiegspunkt, was Passworthygiene und Multi-Faktor-Authentifizierung zu einigen der verfügbaren wirksamsten Verteidigungen macht.
• Organisationen sollten die Überwachung auf frühe Anzeichen einer Eindringung priorisieren, nicht nur auf die letzte, sichtbarste Phase von Ransomware.

Zu verstehen, wie Ransomware-Infrastruktur tatsächlich funktioniert, anstatt jeden Angriff als isoliertes Ereignis zu behandeln, gibt sowohl Einzelpersonen als auch Organisationen einen klareren Weg, Bedrohungen zu erkennen, bevor sie eskalieren. Über diese gemeinsamen Muster informiert zu bleiben, ist eine der einfachsten Möglichkeiten, einen Schritt voraus zu sein.