Eisstadion Thialf von der Ransomware-Bande The Gentlemen getroffen

Was geschah im Eisstadion Thialf?

Thialf, das berühmte niederländische Eisstadion, das weltweit für die Ausrichtung von Eisschnelllauf-Meisterschaften bekannt ist, ist das jüngste Opfer eines Cyberangriffs geworden. Laut Microsoft hat die Gruppe hinter dem Eindringen, die als The Gentlemen bekannt ist, Daten aus dem Veranstaltungsort gestohlen und droht, diese im Darknet zu veröffentlichen, falls nicht innerhalb weniger Tage ein Lösegeld gezahlt wird.

Dies ist ein Lehrbuchbeispiel für eine doppelte Erpressung durch eine Ransomware-Bande: Angreifer sperren nicht nur Dateien, sondern stehlen zuerst sensible Daten und nutzen die Drohung mit öffentlicher Bloßstellung als Druckmittel. Für eine Einrichtung wie Thialf könnte das bedeuten, dass Mitarbeiterdaten, Finanzinformationen, Ticketdaten oder andere betriebliche Details in kriminellen Foren zum Verkauf oder zum kostenlosen Download landen, wenn die Frist ohne Zahlung verstreicht.

Wie das Modell der doppelten Erpressung von The Gentlemen funktioniert

Das Playbook der doppelten Erpressung ist für die meisten schwerwiegenden Ransomware-Operationen zum Standardansatz geworden, und The Gentlemen scheinen dem gleichen Muster zu folgen, das in unzähligen anderen Fällen dokumentiert wurde. Zuerst dringen Angreifer in ein Netzwerk ein und exfiltrieren heimlich Daten, bevor sie mit der Verschlüsselung beginnen. Erst wenn die Daten sicher in ihrem Besitz sind, verschlüsseln sie die Systeme des Opfers und geben sich zu erkennen, oft mit einem Countdown-Timer und einer Darknet-Leak-Site als Beweis für das, was sie erbeutet haben.

Diese zweigleisige Drucktaktik ist darauf ausgelegt, den einfachsten Ausweg für die Opfer zu versperren. Selbst eine Organisation mit soliden Backups und der Fähigkeit, verschlüsselte Systeme ohne Zahlung wiederherzustellen, sieht sich der zweiten Bedrohung gegenüber: der öffentlichen Bloßstellung gestohlener Dateien. Diese Kombination hat die doppelte Erpressung weitaus effektiver gemacht als das ältere Modell der reinen Verschlüsselung, und genau deshalb warnen Sicherheitsforscher zunehmend, dass Backups zwar notwendig, aber allein nicht mehr ausreichend sind.

Ransomware-as-a-Service und Affiliate-Rekrutierung erklärt

Was Gruppen wie The Gentlemen besonders schwer zu zerschlagen macht, ist, dass sie nicht als eine einzelne, streng kontrollierte Crew operieren. Microsofts Analyse beschreibt die Gruppe als dadurch gewachsen, dass sie Affiliates über Ransomware-as-a-Service-Vereinbarungen rekrutiert – ein Geschäftsmodell, bei dem ein Kern-Team die Malware, die Verhandlungsinfrastruktur und die Leak-Sites entwickelt und wartet und dieses Toolkit dann an unabhängige Affiliates vermietet, die die eigentlichen Angriffe durchführen.

Diese franchiseartige Struktur bedeutet, dass eine Lösegeldzahlung nicht unbedingt an einen einzelnen Drahtzieher geht. Sie wird zwischen den Entwicklern und dem jeweiligen Affiliate, der den Angriff durchgeführt hat, aufgeteilt, und es bedeutet auch, dass Strafverfolgungsbehörden bei der Zerschlagung einer Gruppe die zugrunde liegende Bedrohung selten vollständig beseitigen. Affiliates wechseln einfach zu einer anderen Ransomware-as-a-Service-Marke und machen weiter. Es ist ein Geschäftsmodell, das auf Widerstandsfähigkeit ausgelegt ist, und es ist ein Grund dafür, dass Ransomware ein hartnäckiges Problem bleibt, auch wenn einzelne Banden kommen und gehen. Die durchgesickerten internen Chats, die in einer BBC-Podcast-Untersuchung zur Conti-Ransomware-Bande detailliert beschrieben wurden, boten einen seltenen Einblick, wie unternehmensartig und hierarchisch diese Operationen hinter den Kulissen sein können.

Warum VPNs allein Ransomware nicht aufhalten – und was wirklich hilft

Es lohnt sich, etwas klarzustellen, das in vielen Berichten unter den Tisch fällt: Ein VPN hätte einen Angriff wie diesen nicht verhindert, und kein einzelnes Tool wird es. Ransomware-Banden gelangen in der Regel durch Phishing-E-Mails, gestohlene Zugangsdaten, ungepatchte Software oder exponierte Fernzugriffsdienste ins Netzwerk, nicht durch Lücken, die ein Consumer-VPN schließen soll. Unternehmen benötigen stattdessen einen mehrschichtigen Schutz: Multi-Faktor-Authentifizierung, Netzwerksegmentierung, regelmäßige Offline-Backups, Endpoint-Erkennungstools und Mitarbeiterschulungen zur Erkennung von Phishing-Versuchen.

Die Entscheidung, ob gezahlt werden soll, ist die wirklich schwierige Frage, und die Datenlage ist hier für alle, die hoffen, dass eine Zahlung eine saubere Lösung garantiert, ernüchternd. Ein Bericht, über den Proofpoint berichtete, dass Lösegeldzahler oft erneut getroffen werden, ergab, dass ein erheblicher Anteil der Organisationen, die einmal zahlen, ein zweites Mal ins Visier geraten – was darauf hindeutet, dass eine Zahlung das Opfer als leichtes Ziel markieren kann, anstatt den Vorfall abzuschließen. Nicht jede Organisation gibt nach. Der Schweizer Hersteller Stadler Rail lehnte eine Lösegeldforderung in Höhe von 12,3 Millionen Dollar von der Everest-Bande öffentlich ab und zeigte damit, dass die Weigerung ein gangbarer, wenn auch schwieriger Weg ist, den einige Opfer wählen.

Was das für Sie bedeutet

Für die meisten Leser stellt der Vorfall in Thialf keine direkte Bedrohung dar, aber er ist eine nützliche Erinnerung daran, wie moderne Ransomware-Operationen funktionieren und warum sie weiterhin erfolgreich sind. Wenn Sie in einer Organisation arbeiten, insbesondere einer, die Kunden-, Mitarbeiter- oder Besucherdaten verarbeitet, lautet die Lehre, dass Prävention lange bevor der Countdown eines Angreifers beginnt, erfolgen muss. Wenn Sie ein Besucher, Mitarbeiter oder Partner von Thialf sind und sich Sorgen um Ihre eigenen Daten machen, achten Sie auf offizielle Mitteilungen des Veranstaltungsortes und seien Sie wachsam gegenüber Phishing-Versuchen, die sich auf den Vorfall beziehen – denn Angreifer und Opportunisten nutzen Nachrichten über ein Datenleck häufig, um Folgebetrügereien durchzuführen.

Umsetzbare Erkenntnisse

• Gehen Sie davon aus, dass jede Organisation, die Ihre Daten speichert, einer doppelten Erpressung durch eine Ransomware-Bande zum Opfer fallen könnte; fragen Sie Unternehmen, mit denen Sie interagieren, nach ihren Incident-Response- und Datenschutzpraktiken.
• Wenn Sie IT-Systeme verwalten, priorisieren Sie Multi-Faktor-Authentifizierung, Patching und Offline-Backups gegenüber einzelnen Sicherheitsprodukten, einschließlich VPNs.
• Gehen Sie nicht davon aus, dass die Zahlung eines Lösegelds einen Vorfall sauber abschließt. Es gibt Hinweise darauf, dass wiederholte Angriffe bei zahlenden Organisationen häufig sind.
• Achten Sie auf Phishing-E-Mails, die sich auf den Thialf-Vorfall oder ähnliche Vorfälle beziehen, da Angreifer öffentliche Nachrichten über Datenlecks oft für Folgebetrügereien ausnutzen.
• Verfolgen Sie, wie betroffene Organisationen in den kommenden Tagen reagieren. Thialfs Entscheidung, ob gezahlt wird oder nicht, wird einen weiteren Datenpunkt zur anhaltenden Debatte über Lösegeldzahlungen liefern.

Da Ransomware-as-a-Service-Operationen wie The Gentlemen weiterhin Affiliates rekrutieren und ihre Taktiken der doppelten Erpressung verfeinern, werden Vorfälle wie der in Thialf wahrscheinlich weiterhin Schlagzeilen machen. Sich darüber zu informieren, wie diese Angriffe ablaufen, und Organisationen, auf die Sie angewiesen sind, zu ernsthafter Prävention zu drängen, bleibt einer der praktischsten Schritte, die der Öffentlichkeit zur Verfügung stehen.