Ransomware-Banden verlagern sich auf 'Flächenunterdrückung' von KMU-Netzwerken

Eine neue Ransomware-Strategie nimmt Gestalt an

Eine aktuelle Analyse der Ransomware-Landschaft beschreibt eine bemerkenswerte Verschiebung in der Angreiferstrategie: Anstatt sorgfältig ein Unternehmen nach dem anderen ins Visier zu nehmen, versuchen einige Gruppen jetzt das, was der Bericht als „Flächenunterdrückung“ bezeichnet – die Kompromittierung eines gesamten Clusters miteinander verbundener kleiner und mittlerer Unternehmen (KMU) in einer einzigen Kampagne. Dies ist eine bedeutsame Entwicklung in der Art und Weise, wie Ransomware-Angriffe auf die Lieferkette durchgeführt werden, und sie ist besonders relevant für Volkswirtschaften, die auf vielschichtigen Subunternehmerbeziehungen aufbauen. Der Bericht hebt Japans hierarchische Geschäftsstruktur als besonders attraktives Jagdrevier hervor.

Die Logik hinter der Flächenunterdrückung ist aus Sicht der Angreifer einfach: Statt Zeit und Ressourcen in das Eindringen in ein einziges, gut verteidigtes Ziel zu investieren, warum nicht ein Geflecht kleinerer, weniger geschützter Unternehmen identifizieren, die alle in dieselbe Lieferkette eingespeist werden, und möglichst viele davon auf einmal kompromittieren? Jedes weitere Opfer erhöht die Chancen auf eine Lösegeldzahlung, und die enge Vernetzung der Subunternehmernetzwerke bedeutet, dass ein einziger Einstiegspunkt Türen zu Dutzenden nachgelagerter oder vorgelagerter Partner öffnen kann.

Was „Flächenunterdrückung“ für vernetzte KMU bedeutet

Bei traditionellen, gezielten Ransomware-Kampagnen recherchieren die Angreifer eine bestimmte Organisation, verstehen ihre Abwehrmaßnahmen und entwickeln eine auf dieses eine Ziel zugeschnittene Eindringmethode. Die Flächenunterdrückung kehrt dieses Modell um. Angreifer kartieren ein Geschäftsökosystem, identifizieren die kleineren Unternehmen, die die großen Hauptauftragnehmer unterstützen, und behandeln das gesamte Netzwerk als eine einzige Angriffsfläche.

Dies ist bedeutsam, weil KMU in Subunternehmerketten oft nicht über das dedizierte Sicherheitspersonal, die Budgets oder die Überwachungswerkzeuge verfügen, die größere Unternehmen unterhalten. Viele verlassen sich auf Fernzugriffstools, gemeinsam genutzte Anmeldedaten oder VPN-Konfigurationen, die vor Jahren eingerichtet und seither kaum geprüft wurden. In einer hierarchischen Geschäftsstruktur, in der Dutzende oder Hunderte kleiner Zulieferer mit einer Handvoll großer Auftragnehmer verbunden sind, entsteht genau die Umgebung mit geringem Widerstand, auf die Angreifer nun optimiert sind.

Wie sich Angreifer seitlich durch Subunternehmer-Netzwerke bewegen

Wenn Angreifer einmal in einem Teil eines Subunternehmer-Clusters eingedrungen sind, müssen sie ihre Vorgehensweise nicht für jedes neue Ziel neu erfinden. Gemeinsame Lieferantenbeziehungen, verbreitete Fernwartungssoftware und überlappende IT-Support-Strukturen führen dazu, dass Anmeldedaten oder Zugangspunkte, die bei einem Unternehmen erlangt wurden, häufig wiederverwendet oder angepasst werden können, um das nächste zu erreichen. Ein kompromittiertes VPN-Konto, ein offengelegter Remotedesktopdienst oder eine vertrauenswürdige Netzwerkverbindung zwischen einem Subunternehmer und seinem Mutterunternehmen können alle als Sprungbrett dienen.

Diese seitliche Bewegung ist das verbindende Gewebe, das einen einzelnen Einbruch in eine Kaskade verwandelt. Wie dies von einem ersten Zugang bis zur vollständigen Kompromittierung abläuft, lässt sich besser verstehen, wenn man den gesamten Ransomware-Angriffslebenszyklus betrachtet. Der Erklärartikel zur doppelten Erpressung zeigt auf, wie Angreifer typischerweise von einem ersten Zugangspunkt über den Datendiebstahl bis zur Verschlüsselung vorgehen – eine Abfolge, die umso verheerender wird, wenn sie sich über mehrere verbundene Unternehmen hinweg abspielt und nicht nur über eines.

Wie doppelte Erpressung und EDR-Umgehung in Kaskadenangriffe passen

Kampagnen zur Flächenunterdrückung geben die Taktiken, die Ransomware in den letzten Jahren so profitabel gemacht haben, nicht auf. Die doppelte Erpressung – bei der Angreifer Daten entwenden, bevor sie sie verschlüsseln, und damit drohen, sie zu veröffentlichen, falls kein Lösegeld gezahlt wird – gilt weiterhin und wird wohl noch wirkungsvoller, wenn mehrere Unternehmen derselben Lieferkette gleichzeitig getroffen werden. Ein Leck, das mehrere verbundene Firmen betrifft, kann nicht nur Druck auf die einzelnen Opfer ausüben, sondern auch auf die größeren Hauptauftragnehmer, deren Ruf und Verträge davon abhängen, dass ihre Partner sicher bleiben.

Moderne Ransomware-Operationen setzen zunehmend auf Techniken, die darauf abzielen, Endpoint Detection and Response (EDR)-Tools zu deaktivieren oder zu blenden, bevor die endgültige Nutzlast ausgebracht wird. Wie in dem Beitrag über EDR-tötende Ransomware-Frameworks erläutert, sind Angreifer dazu übergegangen, die Sicherheitswerkzeuge als kalkulierten ersten Schritt zu deaktivieren, anstatt gegen sie anzukämpfen. In einem Flächenunterdrückungs-Szenario wird dieser Umgehungsschritt noch wertvoller, da er es den Angreifern ermöglicht, sich mit geringerem Risiko einer frühzeitigen Entdeckung durch mehrere, schwach überwachte KMU-Netzwerke zu bewegen.

Was das für Sie bedeutet

Wenn Ihr Unternehmen Teil einer Lieferkette ist – sei es als Subunternehmer, Zulieferer oder Hauptauftragnehmer –, sind Sie jetzt ein Knotenpunkt in einem Netzwerk, das Angreifer aktiv kartieren. Die Stärke Ihrer eigenen Abwehr schützt nicht mehr nur Sie selbst. Sie betrifft jeden mit Ihnen verbundenen Partner. Ein einziges ungepatchtes VPN-Gateway oder eine wiederverwendete Fernzugriffs-Anmeldung könnte der Eintrittspunkt für einen Kaskadenangriff werden, der weit über Ihre eigenen Systeme hinausgeht.

Dies ist besonders relevant für KMU-Inhaber, die vielleicht annehmen, ihr Unternehmen sei „zu klein, um ein Ziel zu sein“. Im Modell der Flächenunterdrückung ist Kleinheit kein Schutz. Sie ist oft der Grund, warum man ausgewählt wurde.

Praktische Schutzmaßnahmen, die KMU-Inhaber jetzt umsetzen sollten

Einige konkrete Schritte können die Gefährdung durch Ransomware-Lieferkettenangriffe bedeutsam verringern:

• Überprüfen Sie jeden Fernzugangspunkt, einschließlich VPNs, RDP und Support-Tools von Drittanbietern, und entfernen oder aktualisieren Sie veraltete Komponenten.
• Erzwingen Sie Multifaktor-Authentifizierung für alle Fernzugriffe und administrativen Konten, insbesondere für jene, die mit Lieferanten oder Auftragnehmern geteilt werden.
• Segmentieren Sie Netzwerke so, dass ein Einbruch bei einem Subunternehmer nicht automatisch einen Pfad zu Partnerorganisationen eröffnet.
• Pflegen Sie offline gespeicherte, getestete Backups, damit eine Verschlüsselung allein keine Lösegeldentscheidung erzwingen kann.
• Fragen Sie Ihre Geschäftspartner und Hauptauftragnehmer nach ihren eigenen Sicherheitspraktiken, denn Ihr Risiko ist nun mit deren Risiko verbunden.

Ransomware-Gruppen haben gezeigt, dass sie bereit sind, ihre Vorgehensweise zu industrialisieren und ganze Geschäftsökosysteme als ein einziges Ziel zu behandeln, anstatt Unternehmen einzeln herauszupicken. Diese Entwicklung zu verstehen und die oben beschriebenen grundlegenden Verteidigungsschritte zu unternehmen, ist der klarste Weg für KMU, zu vermeiden, zum schwachen Glied zu werden, das eine gesamte Lieferkette zu Fall bringt.