Die Ex-Conti-Crew von Royal Ransomware signalisiert ein neues Bedrohungsmodell

Die meisten Schlagzeilen über Ransomware konzentrieren sich auf dieselben wenigen bekannten Namen, doch eine leisere Kategorie von Bedrohungsakteuren erweist sich als ebenso schädlich. Weniger bekannte Ransomware-Gruppen geben zunehmend die weit verzweigten Affiliate-Netzwerke auf, die Gruppen wie LockBit und Cl0p berüchtigt gemacht haben, und entscheiden sich stattdessen für kleine, disziplinierte Teams, die schwerer zu infiltrieren und schwerer vorherzusagen sind. Royal, eine Gruppe, die etwa im September aufgetaucht ist, ist eines der klarsten Beispiele für diesen Wandel und bietet eine nützliche Fallstudie dafür, warum kleiner nicht sicherer bedeutet für die Unternehmen, die diese Gruppen ins Visier nehmen.

Ein anderes Geschäftsmodell: geschlossene Crews statt Affiliates

Die meisten großen Ransomware-Operationen laufen über ein Affiliate- oder Ransomware-as-a-Service-Modell. Die Kerrentwickler bauen und pflegen die Malware und lizenzieren sie dann an eine rotierende Riege von Affiliates, die die eigentlichen Eindringlinge durchführen und dafür einen Anteil des Lösegelds erhalten. Das ist eine effiziente Struktur, die es einem einzigen Malware-Stück ermöglicht, über Dutzende oder Hunderte gleichzeitiger Angriffe zu skalieren, aber sie schafft auch Schwachstellen. Affiliates werden nachlässig, leaken Details oder werden verhaftet, und die Strafverfolgung hatte echte Erfolge dabei, diese Netzwerke zu entwirren, indem sie das lockerste Glied verfolgte.

Royal überspringt dieses Modell vollständig. Statt eine breite Affiliate-Basis anzuwerben, operiert die Gruppe mit einem kleineren, engeren Kernteam, von dem angenommen wird, dass es ehemalige Mitglieder von Conti umfasst, einer der produktivsten und technisch ausgefeiltesten Ransomware-Operationen, bevor sie sich zersplitterte. Diese Abstammung ist wichtig. Eine Gruppe, die um erfahrene Operatoren herum aufgebaut ist, die bereits wissen, wie man sich durch Unternehmensnetzwerke bewegt, Erkennung umgeht und über Lösegelder verhandelt, braucht keine Skalierung, um effektiv zu sein. Sie braucht Disziplin, und eine geschlossene Struktur ist leichter diszipliniert zu halten.

Für Verteidiger ist dies eine bedeutende Veränderung in der Bedrohungslandschaft. Affiliate-getriebene Gruppen hinterlassen oft eine Spur inkonsistenter Taktiken, weil so viele verschiedene Personen dasselbe Toolkit verwenden. Eine geschlossene Crew wie Royal hingegen neigt dazu, mit mehr Konsistenz und mehr operativer Sicherheit zu agieren, was ihre Aktivität in den frühen Phasen eines Eindringens schwerer identifizierbar und zuordenbar machen kann.

Doppelte Erpressung bleibt der gemeinsame Nenner

Trotz der strukturellen Unterschiede teilt Royal eine Taktik mit nahezu jeder anderen aktiven Ransomware-Gruppe von heute: doppelte Erpressung. Statt einfach die Dateien eines Opfers zu verschlüsseln und Zahlung für einen Entschlüsselungsschlüssel zu verlangen, exfiltriert die Gruppe zuerst sensible Daten aus dem Netzwerk. Wenn das Lösegeld nicht gezahlt wird, ist die Drohung nicht nur gesperrte Dateien, sondern die öffentliche Veröffentlichung gestohlener Daten, die Kundenaufzeichnungen, Finanzinformationen oder interne Kommunikation umfassen können.

Diese zweigleisige Druckkampagne ist zum Industriestandard geworden, weil sie funktioniert. Selbst Organisationen mit soliden Backup-Systemen, die verschlüsselte Daten ohne Zahlung wiederherstellen könnten, stehen immer noch vor den Reputations- und Regulierungsfolgen eines Datenlecks. Es ist eine Taktik, die im gesamten Ransomware-Ökosystem auftaucht, unabhängig von der Größe oder Bekanntheit einer Gruppe. Kleinere, neuere Akteure nutzen sie genauso bereitwillig wie etablierte Namen. Der jüngste Fall von M3RX Ransomware, die ein spanisches Softwareunternehmen beansprucht und Hunderte Gigabyte an Daten stiehlt, folgt demselben Drehbuch: eindringen, exfiltrieren, verschlüsseln und mit Offenlegung drohen, bis gezahlt wird.

Was dieses Muster Unternehmen sagt, ist, dass die Größe oder Bekanntheit einer Ransomware-Gruppe ein schlechter Indikator für Risiko ist. Eine relativ unbekannte Crew mit einer Handvoll qualifizierter Operatoren kann denselben Doppel-Erpressungs-Angriff mit denselben Konsequenzen ausführen wie eine Gruppe, die die Schlagzeilen beherrscht.

Was das für Sie bedeutet

Für Sicherheitsteams und Unternehmensinhaber ist die Lehre aus Royal und ähnlichen Gruppen, dass Bedrohungsüberwachung, die auf die Beobachtung einer kurzen Liste berühmter Ransomware-Namen ausgerichtet ist, unvollständig ist. Weniger bekannte Ransomware-Gruppen sind häufig mit erfahrenen Operatoren aus aufgelösten oder umbenannten Organisationen besetzt, was bedeutet, dass ihre Fähigkeiten mit denen größerer Namen mithalten können, selbst ohne große öffentliche Präsenz.

Dies hat auch direkte Auswirkungen darauf, wie Organisationen über Netzwerkzugriff denken. Da doppelte Erpressung davon abhängt, dass Angreifer sich durch ein Netzwerk bewegen und Daten abziehen können, bevor sie die Verschlüsselung auslösen, ist die Begrenzung lateraler Bewegung eine der wirksamsten verfügbaren Verteidigungen. Starke Netzwerksegmentierung, strikte Zugriffskontrollen und die Überwachung ungewöhnlicher ausgehender Datenübertragungen können ein Eindringen abfangen, bevor die Exfiltration abgeschlossen ist, selbst wenn der anfängliche Einbruch nicht gestoppt wird. Sichere Fernzugriffstools, einschließlich ordnungsgemäß konfigurierter VPNs mit Multi-Faktor-Authentifizierung, bleiben eine der einfachsten Möglichkeiten, die exponierte Angriffsfläche zu reduzieren, auf die Gruppen wie Royal angewiesen sind, um einen ersten Fuß zu fassen.

Umsetzbare Erkenntnisse

Unternehmen müssen nicht jede obskure Ransomware-Gruppe namentlich verfolgen, um sich zu schützen, aber sie müssen davon ausgehen, dass jedes ungepatchte System oder jeder exponierte Fernzugriffspunkt ein potenzieller Einstieg für Gruppen ist, von denen sie noch nie gehört haben. Ein paar praktische Schritte bewirken einen echten Unterschied: Fernzugriffstools gepatcht und hinter Multi-Faktor-Authentifizierung halten, Netzwerke segmentieren, damit ein einzelnes kompromittiertes Konto keine sensiblen Daten erreichen kann, auf große oder ungewöhnliche ausgehende Datenübertragungen achten, die eine laufende Exfiltration anzeigen könnten, und Offline-Backups pflegen, die regelmäßig getestet und nicht nur gespeichert werden.

Weniger bekannte Ransomware-Gruppen sind keine Fußnote zu den größeren Namen, die die Nachrichten beherrschen. Wie Royal und andere kleinere, geschlossene Crew-Operationen zeigen, geht reduzierte Sichtbarkeit oft mit erhöhter operativer Fähigkeit einher, nicht mit verringertem Risiko. Jede Gruppe, ob vertraut oder nicht, mit demselben Maß an defensiver Strenge zu behandeln, ist der zuverlässigste Weg, ihnen voraus zu bleiben.