„Ransom Busters": Gefälschte Wiederherstellungsfirmen verbergen Ransomware-Betrug

Eine neue Variante des alten Erpressungsrezepts

Ransomware-Banden haben sich seit jeher auf Angst und Dringlichkeit gestützt, um Opfer zur Zahlung zu drängen. Nun hat laut Berichten über ein als „Ransom Busters“ bezeichnetes Schema mindestens ein Ransomware-Partner einen neuen Ansatz gefunden: Er gibt sich als genau diejenigen aus, die den Opfern angeblich helfen sollen.

Statt einfach nur eine Zahlung zu fordern und nach dem Angriff zu verschwinden, tritt dieser Akteur Berichten zufolge mit Hilfsangeboten an die Opfer heran und präsentiert sich als Dienst zur Bewältigung von Sicherheitsvorfällen. Der Haken: Diese „Hilfe“ ist nicht neutral. Sie scheint darauf ausgelegt zu sein, Lösegeldzahlungen von legitimen Kanälen abzulenken und zurück in die Taschen desselben kriminellen Ökosystems zu lenken, das den Einbruch überhaupt erst verursacht hat.

Das ist eine bedeutsame Änderung der Taktik. Herkömmliche Ransomware-Operationen basieren auf einer einfachen, wenn auch brutalen Transaktion: Daten verschlüsseln, Zahlung fordern, Entschlüsselungsschlüssel bereitstellen (vielleicht). Indem Angreifer eine gefälschte Wiederherstellungsebene in diesen Prozess einfügen, können sie verzweifelte Opfer zweimal manipulieren – einmal beim ersten Einbruch und erneut, während diese versuchen, einen Ausweg zu finden.

Warum Opfer besonders anfällig für diese Masche sind

Organisationen, die von Ransomware getroffen werden, arbeiten oft im Krisenmodus. Systeme sind ausgefallen, Führungskräfte stehen unter Druck, und Entscheidungsträger suchen hektisch nach jedem glaubwürdigen Weg, den Betrieb wiederherzustellen. Genau diese Umgebung macht einen gefälschten „Wiederherstellungsdienst“ so wirksam. Opfer prüfen nicht unbedingt jedes Hilfsangebot mit kritischem Blick; sie suchen nach einer schnellen Lösung.

Diese Taktik spielt außerdem mit einem breiteren Trend, bei dem Ransomware-Akteure die Grenze zwischen Angreifer und Helfer verwischen. Sie erinnert an andere jüngste Fälle, in denen Bedrohungsakteure vertrauenswürdige Rollen imitiert haben, um Zugang oder Einfluss zu gewinnen – etwa die Silent Ransom Group, die sich physisch als IT-Mitarbeiter bei Anwaltskanzleien ausgab, um Mitarbeiter von innen heraus zu manipulieren. Ob die Täuschung persönlich oder über eine gefälschte Wiederherstellungsmarke erfolgt, das Ziel ist dasselbe: Vertrauen genau in dem Moment auszunutzen, in dem eine Organisation am wenigsten in der Lage ist, zu überprüfen, mit wem sie es wirklich zu tun hat.

Ransomware-Gruppen haben außerdem gezeigt, dass sie bereit sind, ein breites Spektrum an Sektoren anzugreifen, wenn sich die Gelegenheit bietet – wie etwa im Fall der Gruppe SpaceBears, die den französischen Telekommunikationsanbieter Stellar angriff. Taktiken wie das „Ransom Busters“-Schema deuten darauf hin, dass Opfer branchenübergreifend auch nach einem ersten Angriff nicht davon ausgehen können, dass die Gefahr vorüber ist, sobald die Verhandlungen beginnen.

Die Datenschutzfolgen gefälschter Wiederherstellungsdienste

Die Datenschutzfolgen gehen hier über den finanziellen Aspekt hinaus. Wenn ein Opfer mit einem vermeintlich legitimen Wiederherstellungsdienst in Kontakt tritt, kann es sensible Details über sein Netzwerk, seine Datenexposition, seine internen Entscheidungsprozesse und sogar seine Zahlungsbereitschaft preisgeben. Wenn dieser „Dienst“ tatsächlich vom Angreifer kontrolliert wird oder mit ihm verbunden ist, fließen all diese Informationen direkt zurück zu den Verantwortlichen für den Einbruch.

Das erzeugt eine Rückkopplungsschleife, die dem Angreifer in jeder Phase nutzt: Er wird bezahlt, er erhält Aufschluss darüber, wie das Opfer reagiert, und er bekommt möglicherweise sogar eine zweite Chance, Geld unter dem Deckmantel legitimer Hilfe herauszupressen. Für jede Organisation, die bereits mit kompromittierten Daten zu kämpfen hat, vervielfacht eine solche Masche die Offenlegung, anstatt sie zu beheben.

Was das für Sie bedeutet

Wenn Ihre Organisation jemals von Ransomware getroffen wird, kann der Druck, eine schnelle Lösung zu finden, enorm sein – doch dieses Schema erinnert daran, dass nicht jedes Hilfsangebot in einer Krise echt ist. Wiederherstellungsfirmen, Verhandlungsführer und Cybersicherheitsberater sollten immer unabhängig verifiziert werden, idealerweise über Empfehlungen, etablierte Reputationen oder Ihren Cyberversicherer – und nicht über Kontakte, die unaufgefordert direkt nach einem Angriff auftauchen.

Es ist auch wichtig, sich vor Augen zu halten, dass legitime Incident-Response-Firmen normalerweise nicht aus dem Nichts mit unaufgeforderten Angeboten direkt nach einem Einbruch auftauchen. Jede unerwartete Kontaktaufnahme, die behauptet, bei Lösegeldverhandlungen oder der Datenwiederherstellung zu helfen, verdient besondere Prüfung, bevor Informationen oder Geld den Besitzer wechseln.

Umsetzbare Erkenntnisse

• Verifizieren Sie jeden Wiederherstellungs- oder Verhandlungsdienst über vertrauenswürdige, unabhängige Kanäle, bevor Sie sich engagieren – besonders, wenn er von sich aus auf Sie zukommt.
• Beziehen Sie Strafverfolgungsbehörden und Ihren Cyberversicherer frühzeitig ein; sie können dabei helfen, legitime Wiederherstellungspartner von opportunistischen Akteuren zu unterscheiden.
• Vermeiden Sie es, detaillierte Informationen über Ihren Einbruch, Ihre Systeme oder Ihre Zahlungsabsichten an Parteien weiterzugeben, deren Berechtigungen nicht bestätigt wurden.
• Behandeln Sie unaufgeforderte Hilfsangebote nach einem Einbruch mit derselben Skepsis, die Sie auch der ursprünglichen Lösegeldforderung entgegenbringen würden.

Schemata wie „Ransom Busters“ zeigen, dass Ransomware-Erpressung nicht immer endet, wenn die Lösegeldforderung auftaucht. Vorsicht dabei, wem Sie in der Zeit nach einem Angriff vertrauen, ist genauso wichtig wie die Abwehr des ursprünglichen Einbruchs.