Qilin und The Gentlemen: Ransomware-Banden eskalieren Angriffe auf kleine und mittlere Unternehmen

Ransomware-Angriffe auf kleine Unternehmen haben eine drastische Wende zum Schlechteren genommen. Zwei Cybercrime-Operationen, bekannt als Qilin und The Gentlemen, konkurrieren Berichten zufolge um die Vorherrschaft im Ransomware-as-a-Service-Bereich, und kleine und mittlere Unternehmen (KMU) geraten zwischen die Fronten. Statt einer einzelnen dominierenden Bande, die Opfer erpresst, beobachten Sicherheitsforscher nun zwei aggressive Gruppierungen, die darum wetteifern, Netzwerke zu kompromittieren, Daten zu stehlen und Lösegeld zu fordern – oft von Organisationen, die sich diese Störung am wenigsten leisten können.

Diese Rivalität ist von Bedeutung, weil sie die Anreizstruktur für Angreifer verändert. Wenn zwei Gruppen im Ransomware-Ökosystem um Marktanteile kämpfen, haben beide einen Grund, schneller vorzugehen, ein größeres Netz auszuwerfen und leichtere Ziele zu verfolgen, anstatt auf den größtmöglichen Zahltag zu warten. KMU, die in der Regel mit schlankeren IT-Teams und älterer Infrastruktur arbeiten, passen genau in dieses Profil.

Warum Qilin und The Gentlemen es auf KMU abgesehen haben

Große Unternehmen investieren in der Regel stark in Erkennungswerkzeuge, dediziertes Sicherheitspersonal und Incident-Response-Vereinbarungen. Kleinere Unternehmen haben diesen Luxus meist nicht. Ein Ransomware-Akteur, der abwägt, wo er begrenzte Zeit und Ressourcen einsetzt, wählt oft den Weg des geringsten Widerstands – und dieser Weg führt zunehmend zu KMU.

Der Wettbewerb zwischen Banden wie Qilin und The Gentlemen scheint diesen Trend zu beschleunigen. Wenn Affiliates innerhalb eines Ransomware-as-a-Service-Modells dazu angeregt werden, möglichst viele Opfer zu treffen, zieht es sie zu Organisationen mit weniger Verteidigungen und geringerer Fähigkeit, unabhängig zu verhandeln oder sich zu erholen. Das Ergebnis ist ein volumengetriebener Ansatz, bei dem KMU zum Standardziel werden und nicht nur ein nachträglicher Einfall sind.

Wie diese Ransomware-Banden ersten Zugang erlangen

Ransomware-Betreiber müssen nur selten ausgeklügelte, maßgeschneiderte Schadsoftware schreiben, um einzudringen. In den meisten in der Branche verfolgten Kampagnen erfolgt der Erstzugang über weit profanere Schwachstellen: ungesicherte oder schlecht geschützte Fernzugriffspunkte, gestohlene oder wiederverwendete Zugangsdaten, ungepatchte Software und Phishing-E-Mails, die einen Mitarbeiter dazu verleiten, seine Anmeldedaten preiszugeben.

Einmal drinnen, bewegen sich Angreifer typischerweise lateral durch das Netzwerk, erweitern ihre Berechtigungen und lokalisieren Backup-Systeme, bevor sie die eigentliche Verschlüsselungsnutzlast einsetzen. Wenn Backups vom selben kompromittierten Netzwerk aus erreichbar sind oder wenn Remote-Desktop- und VPN-Zugriffe nicht streng kontrolliert werden, haben die Angreifer alles, was sie brauchen, um den Betrieb lahmzulegen und Lösegeld zu fordern. Datendiebstahl findet häufig parallel statt und gibt den Banden einen zweiten Druckhebel: Zahlen Sie, oder Ihre gestohlenen Dateien werden öffentlich zugänglich gemacht. Der World Leaks Mediaworks-Breach zeigt genau, wie verheerend diese zweite Stufe sein kann, wenn gestohlene Daten auf einer Leak-Site landen und für jedermann herunterladbar sind.

Die tatsächlichen Kosten eines Ransomware-Angriffs für ein kleines Unternehmen

Für einen Großkonzern ist ein Ransomware-Vorfall schmerzhaft, aber überlebbar. Für ein kleines Unternehmen kann er existenzbedrohend sein. Ausfallzeiten während der Wiederherstellung bedeuten entgangene Einnahmen ohne finanzielles Polster, um diese aufzufangen. Das Vertrauen der Kunden schwindet schnell, wenn Gehaltsdaten, Kundenakten oder Gesundheitsinformationen offengelegt werden. Gesetzliche und regulatorische Verpflichtungen gelten unabhängig von der Unternehmensgröße, und die Kosten für forensische Untersuchungen, den Wiederaufbau von Systemen und mögliche Lösegeldzahlungen können die Barreserven aufzehren, auf die viele KMU angewiesen sind, um über Wasser zu bleiben.

Die Rivalität zwischen Qilin und The Gentlemen verleiht dem Ganzen Dringlichkeit. Wenn Gruppen eher auf Geschwindigkeit und Masse als auf Selektivität setzen, werden Unternehmen, die davon ausgehen, zu klein zu sein, um die Zeit eines Angreifers wert zu sein, zunehmend eines Besseren belehrt.

Mehrschichtige Verteidigung: VPNs, Backups und Zugriffskontrollen, die wirklich helfen

KMU brauchen keine Budgets in Unternehmensgröße, um ihr Risiko spürbar zu verringern, aber sie müssen die Lücken schließen, auf die Angreifer am meisten angewiesen sind.

• Sicherer Fernzugriff. Wenn Mitarbeiter oder Auftragnehmer sich aus der Ferne verbinden, sollte dieser Zugriff über ein ordnungsgemäß konfiguriertes VPN oder ein Zero-Trust-Zugriffstool mit aktivierter Multi-Faktor-Authentifizierung erfolgen – nicht über einen offenen Remote-Desktop-Port, der dem Internet ausgesetzt ist.
• Backups isolieren und testen. Backups, die im selben Netzwerk wie die Produktivsysteme gespeichert sind, sind ein Risiko, kein Sicherheitsnetz. Offline- oder unveränderliche Backups, die regelmäßig auf Wiederherstellbarkeit getestet werden, sind das, was es einem Unternehmen tatsächlich ermöglicht, ohne Lösegeldzahlung wiederherzustellen.
• Privilegierten Zugriff einschränken. Nicht jeder Mitarbeiter benötigt administrative Rechte. Zugriffsbeschränkungen verringern die Bewegungsfreiheit eines Angreifers, sobald er Fuß gefasst hat.
• Konsequent patchen. Viele Ransomware-Einbrüche nutzen bekannte Schwachstellen aus, für die bereits Patches verfügbar sind. Ein regelmäßiger Patch-Rhythmus schließt Türen, nach denen Angreifer aktiv suchen.

Was das für Sie bedeutet

Wenn Sie ein kleines Unternehmen leiten oder die IT dafür verwalten, ist die Rivalität zwischen Qilin und The Gentlemen eine Mahnung, dass Ransomware-Gruppen aktiv nach Organisationen genau wie Ihrer suchen. Die Annahme, zu klein zu sein, um Aufmerksamkeit zu erregen, ist keine sichere Wette mehr. Die Unternehmen, die sich am schnellsten von Ransomware-Vorfällen erholen, sind fast immer diejenigen, die bereits vor dem Angriff über Offline-Backups, eingeschränkte Zugriffskontrollen und gesicherte Fernverbindungen verfügten – nicht erst danach.

Wichtige Erkenntnisse

• Ransomware-Angriffe auf kleine Unternehmen nehmen zu, da rivalisierende Banden um Ziele und Geschwindigkeit wetteifern.
• Schwacher Fernzugriff und mangelnde Zugangsdatenhygiene bleiben die häufigsten Einstiegspunkte.
• Offline und getestete Backups sind die mit Abstand zuverlässigste Methode, um eine Lösegeldzahlung zu vermeiden.
• Die Einschränkung privilegierter Zugriffe bremst Angreifer selbst nach einem Einbruch aus.
• Datendiebstahl geht oft mit Verschlüsselung einher, was bedeutet, dass proaktive Sicherheit auch dann wichtig ist, wenn Sie niemals vorhaben, ein Lösegeld zu zahlen.

Um Ransomware-Angriffen auf kleine Unternehmen einen Schritt voraus zu sein, braucht es kein riesiges Sicherheitsbudget. Es gilt, die grundlegenden Lücken zu schließen, die Banden wie Qilin und The Gentlemen derzeit aktiv ausnutzen.