Eine Ransomware-Gruppe, die sich selbst WhiteArmor nennt, behauptet, Daten des Logistikunternehmens Ryder exfiltriert zu haben. Die Behauptung wurde nicht verifiziert, und der Quellbericht liefert nur wenige Details. Dennoch ist der Vorfall eine nützliche Fallstudie dafür, wie der Diebstahl von Zugangsdaten durch Infostealer-Ransomware funktioniert und was normale Nutzer tun können, um nicht zum ersten Glied in einer ähnlichen Kette zu werden.

Was WhiteArmor im Fall Ryder behauptet

Laut einem Threat-Intelligence-Bericht von Quasar Cybertech gibt WhiteArmor an, Daten von Ryder entwendet zu haben. Der verfügbare Text des Berichts ist begrenzt und bestätigt nicht, welche Daten möglicherweise entwendet wurden, in welchem Umfang oder wie die Gruppe Zugang erlangte. Im Quellmaterial findet sich kein Hinweis darauf, dass Ryder die Behauptung bestätigt hat.

Diese Unterscheidung ist wichtig. Ransomware- und Erpressungsgruppen veröffentlichen manchmal Behauptungen, die sich als übertrieben erweisen, während sich andere als zutreffend herausstellen. Bis das Unternehmen oder eine unabhängige Partei die Details verifiziert hat, ist Vorsicht statt Alarmismus die richtige Haltung.

Worauf der Bericht jedoch den Schwerpunkt legt, ist die defensive Lehre. Er beschreibt den Vorfall als Erinnerung an die Risiken, die von Infostealer-gesteuerten Ransomware-Kampagnen ausgehen, und empfiehlt Sicherheitsteams, auf unbefugte Zugriffsversuche zu achten, die von kompromittierten Zugangsdaten ausgehen. Außerdem wird empfohlen, die Pläne für die Reaktion auf Vorfälle zu überprüfen, damit Organisationen auf mögliche Erpressung vorbereitet sind.

Wie Infostealer Ransomware-Erpressung befeuern

Ein Infostealer ist eine Art von Malware, die dazu entwickelt wurde, heimlich sensible Informationen von einem infizierten Gerät zu entwenden. Dazu können gespeicherte Passwörter, Browserdaten und andere Anmeldedaten gehören. In der Regel macht er sich nicht so bemerkbar wie zerstörerische Malware, was unter anderem dazu beiträgt, dass er lange unbemerkt bleiben kann.

Die Verbindung zur Erpressung ist eindeutig. Gestohlene Zugangsdaten können gesammelt, gehandelt oder wiederverwendet werden. Ein Angreifer, der über gültige Anmeldedaten für ein Unternehmenssystem verfügt, muss möglicherweise nicht gewaltsam eindringen; er kann sich einfach anmelden. Von dort aus können Daten kopiert werden, und die Gruppe kann dann damit drohen, sie zu veröffentlichen, falls nicht gezahlt wird. Auf dieses Muster verweist der Bericht, wenn er von Infostealer-gesteuerten Ransomware-Kampagnen spricht.

Zwei Punkte sind für Nicht-Fachleute erwähnenswert:

  • Die erste Kompromittierung betrifft oft ein einziges gewöhnliches Gerät, etwa den Laptop eines Mitarbeiters oder einen privat genutzten Computer, der für die Arbeit verwendet wird.
  • Zugangsdaten, die legitim aussehen, sind schwer von echten Anmeldungen zu unterscheiden, daher muss die Überwachung auf ungewöhnliche Muster achten, etwa Zugriffe von unerwarteten Orten oder zu seltsamen Zeiten.

Was das für Sie bedeutet

Wenn Sie Kunde, Mitarbeiter oder Partner von Ryder sind, gibt es im Quellmaterial keine bestätigten Informationen darüber, was entwendet wurde, sodass noch keine Schlussfolgerungen möglich sind. Sinnvolle Schritte sind, auf offizielle Mitteilungen des Unternehmens zu achten und unaufgeforderte E-Mails, Anrufe oder Textnachrichten, die sich auf Ryder, Sendungen oder Kontoprobleme beziehen, kritisch zu hinterfragen. Erpressungskampagnen und anschließendes Phishing stützen sich manchmal auf die öffentliche Aufmerksamkeit rund um eine behauptete Sicherheitsverletzung.

Wenn Sie ein Konto bei einem Unternehmen haben, das in einer unbestätigten Behauptung genannt wird, müssen Sie nicht in Panik geraten, aber es ist sinnvoll:

  • Das Passwort für dieses Konto zu ändern, wenn Sie es anderswo wiederverwendet haben.
  • Die Multi-Faktor-Authentifizierung zu aktivieren, falls verfügbar.
  • Die letzten Anmeldeaktivitäten auf Unbekanntes zu überprüfen.

Für Mitarbeiter und Administratoren gilt der Rat des Berichts unmittelbar: Achten Sie auf unbefugte Zugriffsversuche mit bekannten kompromittierten Zugangsdaten, und stellen Sie sicher, dass Ihr Plan zur Reaktion auf Vorfälle abdeckt, was bei einer Erpressungsforderung zu tun ist.

Wie Sie persönliche Konten vor Zugangsdaten-Diebstahl schützen

Sie können nicht kontrollieren, wie ein großes Unternehmen seine Systeme absichert, aber Sie können den Wert dessen verringern, was ein Infostealer von Ihren eigenen Geräten erbeuten könnte.

Verwenden Sie für jedes Konto ein einzigartiges Passwort. Wiederverwendung ist das, was aus einer gestohlenen Anmeldung viele macht. Ein Passwortmanager macht dies praktikabel.

Aktivieren Sie die Multi-Faktor-Authentifizierung. Selbst wenn ein Passwort gestohlen wird, kann ein zweiter Faktor eine Anmeldung blockieren. Bevorzugen Sie nach Möglichkeit app-basierte oder hardwarebasierte Methoden gegenüber Textnachrichten.

Halten Sie Geräte und Software aktuell. Updates für Betriebssystem, Browser und Sicherheitssoftware schließen Lücken, auf die Malware angewiesen ist.

Seien Sie vorsichtig, was Sie installieren und anklicken. Infostealer gelangen häufig über schädliche Downloads, gefälschte Software und Phishing-Links auf Geräte. Bleiben Sie bei offiziellen Quellen.

Vermeiden Sie es, sensible Anmeldedaten an Orten zu speichern, an denen Sie sie nicht benötigen. Im Browser gespeicherte Passwörter sind ein häufiges Ziel, daher sollten Sie einen dedizierten Passwortmanager mit einem starken Master-Passwort in Betracht ziehen.

Wenn Sie eine Infektion vermuten, trennen Sie die Verbindung zum Netzwerk, führen Sie einen vertrauenswürdigen Sicherheitsscan durch und ändern Sie Ihre Passwörter von einem sauberen Gerät aus.

Fazit

WhiteArmors Behauptung über Ryder bleibt unbestätigt, und die Details sind dürftig. Klar ist die übergeordnete Lehre: Der Diebstahl von Zugangsdaten durch Infostealer-Ransomware beginnt mit gewöhnlichen Anmeldungen, und diese Anmeldungen stammen oft von gewöhnlichen Geräten. Verwenden Sie einzigartige Passwörter, aktivieren Sie die Multi-Faktor-Authentifizierung und halten Sie Ihre Geräte aktuell. Diese Gewohnheiten werden nicht jeden Angriff verhindern, aber sie machen Ihre Konten zu einem viel schwereren und weniger lohnenden Ziel.