Opfer, Modelle und Tools So arbeiten Ransomware-Gruppen heute

Anbieter zum Thema

Check Point Software Technologies GmbH

Fsas Technologies GmbH

STACKIT GmbH & Co. KG

Ransomware-Gruppen setzen auf KI, Kartell-Modelle und dreifache Er­pres­sung. Laut Check Point ist das Ökosystem fragmentierter denn je – und stellt Unternehmen vor neue Herausforderungen bei Verteidigung, Prä­vention und Risikoabwägung.

Die Sicherheitsforscher von Check Point haben den Report „The State of Ransomware“ für das zweite Quartal 2025 veröffentlicht.

Das Wichtigste in Kürze:

• Zwar brachen große Ransomware-as-a-Service-Gruppen zusammen, doch kleinere Gruppierungen und Einzelakteure sind nach wie vor sehr aktiv.

• Die Angreifer nutzen KI nicht nur für Phishing, sondern auch für Verhandlungs-Bots und Affiliate-gesteuerte Kartell-Modelle.

• Ransomware-Banden fokussieren sich zunehmend auf dreifache Erpressung.

• Der staatliche und polizeiliche Druck auf Unternehmen wurde erhöht. Einige Regierungen, wie die der USA oder Australiens, haben ein Zahlungsverbot von Lösegeld eingeführt oder drohen damit, was wiederum für die Opfer die Kosten-Risiko-Rechnung verändert.

„Cloud Security Report 2025“ von Check Point

Alarmierende Schwächen in der Cloud-Abwehr

Wo und wie greifen Ransomware-Akteure an?

Check Point hat sich im Detail angesehen, welche Länder am häufigsten von Ransomware getroffen waren. An erster Stelle stehen die USA mit 49 Prozent. Danach, mit großem Abstand, folgen Deutschland, Kanada und Großbritannien auf dem zweiten Platz mit fünf Prozent.

Während weltweit die Ransomware-Gruppe „Quilin“ am aktivsten ist, hat in Deutschland „Safepay“ am häufigsten zugeschlagen.

Was die einzelnen Branchen angehen, liegen die Top fünf sehr nah beieinander. Unternehmen, die Business Services anbieten, wurden mit 10,9 Prozent am häufigsten mit Ransomware angegriffen. Es folgen das produzierende Gewerbe mit 9,8 Prozent und Konstruktion und Ingenieurwesen mit 9,5 Prozent. Auf Platz vier folgt das Gesundheitswesen mit 7,8 Prozent, danach Konsumprodukte samt Dienstleistungen mit 7,6 Prozent. Die Sicherheitsforscher betonen, dass hier deutlich die breite Streuung von Ransomware-Attacken über alle Branchen hinweg zu sehen sei.

Bildergalerie

„Cloud smart“ statt „Cloud first“

CloudGuard für native Cloud-Sicherheit

Kriminelle entwickeln kreative Geschäftsmodelle

Außerdem zeigten die Untersuchungen, dass Ransomware-Gruppen vermehrt Unternehmenslogos kopieren und White-Label-Dienste anbieten. Dies sind vollständig entwickelte Produkte oder Services, die ein Akteur erstellt und anderen zur Verfügung stellt, damit diese sie unter eigenem Branding nutzen oder vertreiben können. Ohne, dass das Opfer erfährt, wer der ursprüngliche Entwickler ist. Solche White-Label-Modelle sind in vielen legitimen Branchen gängig, etwa bei Cloud-Diensten, Softwarelösungen oder Zahlungsplattformen.

Daneben beobachteten die Forscher, dass die Ransomware-Gruppe „Global Group“, auch bekannt als „El Dorado“ oder „Blacklock“ damit wirbt, KI-gestützten Support für Lösgeldverhandlungen anzubieten. Dies sei Teil ihres Ransomware-as-a-Service-Angebots (RaaS). Die Sicherheitsforscher glauben, dass die Angebote und Tools der Cyberkriminellen im Darknet noch mehr beinhalten:

• Bots, die eine personalisierte Korrespondenz über das Lösegeld erstellen, die auf den Antworten der Opfer basieren.

• KI-generierte Lösegeldforderungen, die überzeugender oder bedrohlicher wirken sollen.

• Erstellung eines psychologischen Profils des Opfers, um strategischen Druck auf es ausüben zu können.

Quilin, der derzeit weltweit aktivste Ransomware-Gruppe, geht sogar noch einen Schritt weiter: Sie bietet ihren Kunden eine juristische Prüfung gestohlener Daten an, um zu bewerten, welche Verstöße gegen Regularien und Gesetze dem Opfer durch den Datendiebstahl drohen. Oft gehören auch die Vorbereitung einer Dokumentation über diese Vergehen zum Angebot, um sie Behörden, wie Finanzämter, Polizeiwachen, oder – in den USA – das FBI, vorlegen zu können, damit diese gegen das Opfer ermitteln müssen.

„DragonForce“, laut Check Point eine der ersten RaaS-Gruppen, folgte den Analysten zufolge einem „Ransomware-Kartell-Modell“. Dies bedeute, dass die Affiliate-Partner des RaaS nicht mehr einem zentralen Leitfaden folgen müssen, sondern teils unabhängig agieren dürfen. Dazu würden eigene Kampagnen, eigene Ziele und angepasste Erpressungsmethoden durch die Affiliate-Partner gehören.

Podcast: Digitale Beweissicherung, Cybercrime im Visier

Cloud-Forensik: Auf Spurensuche im digitalen Raum

Schlüsselelemente dieses Kartell-Modells seien:

• White-Label-Tools: Affiliate-Partner würden Zugang zum Ransomware-Bausatz von DragonForce erhalten sowie der Veröffentlichungs-Infrastruktur für gestohlene Datensätze und deren Verschlüsselungsmechanismus als Blanko-Baukasten.

• Markenlizenzierung: Sämtliche Attacken der Affiliate-Partner würden den Namen der Gruppe DragonForce tragen, obwohl die Hintermänner nicht involviert seien, was deren Ruf als berüchtigte Bande stärken solle.

• Operative Unabhängigkeit: Diese Strategie verteile das Risiko auf mehrere Akteure, erhöhe die Reichweite der gesamten Gruppierung, erschwere die Abschaltung und verschleiere die Zuordnung von einzelnen Attacken zu bestimmten Leuten.

Hinzu komme, dass DragonForce in seinem Marketing sogar eine Partnerschaft mit dem sehr bekannten Ransomware-Darknet-Forum namens „Ramp“ eigegangen sei. Das DragonForce-Logo entdeckte Check Poin in der Kopfzeile des Forums.

Künftige Sicherheitsbedrohung ganz nah

Quantencomputer rauben Cloud-Daten

Unternehmen zahlen weniger häufig Lösegeld

Trotz dieser Bemühungen der Ransomware-Akteure, war eine interessante Beobachtung von Check Point, dass die Opfer weniger häufig die geforderten Lösegelder bezahlen. Die weltweite Zahlungshäufigkeit sei um 25 bis 27 Prozent gesunken. Dahinter vermuten die Analysten, dass

• viele Unternehmen widerstandsfähiger geworden sind und in Backups, Segmentierung und Incident Response investiert habe. Dies habe dazu geführt, dass mehr Unternehmen die Lösegeldforderung ablehnen.

• viele Opfer den Cyberkriminellen nicht mehr vertrauen, wenn diese versichern, dass sie nach der Zahlung wirklich einen funktionierenden Entschlüsselungsschlüssel bereitstellen oder die gestohlenen Daten löschen.

• der polizeiliche Druck erhöht wurde. So haben zum Beispiel die Regierungen der USA und Australiens ein Zahlungsverbot von Lösegeld eingeführt. Andere Regierungen haben damit bereits gedroht. Dies habe für die Opfer die Risiko-Nutzen-Abwägung zwischen Bezahlen oder Nichtbezahlen verändert.

Gleichzeitig passen laut Check Point jedoch auch die Cyberkriminellen ihre Vorgehensweisen an:

• Die dreifache Erpressung als Methode werde ausgebaut und löse zusehends die Verschlüsselung ab, um direkte Attacken gegen Kunden, Arbeitnehmer und Partner des eigentlichen Opfers durchführen zu können.

• Gestohlene Datensätze würden zunehmend im Rahmen von Auktionen im Darknet verkauft. Unabhängig davon, ob die Lösegeldforderung bezahlt wird oder nicht, sei es das Ziel der Angreifer damit Geld zu machen.

• Einige Banden würden DDoS-Attackenstarten, Pressevertreter oder sogar Aufsichtsbehörden kontaktieren, um den Druck auf die Opfer zu erhöhen und deren Ruf zu ruinieren.

Bildergalerie

Eine weitere, wichtige Erkenntnis: Im Feld von Ransomware und entsprechenden as-a-Service-Angeboten gebe es nicht mehr nur wenige große Namen. Stattdessen hätten die Sicherheitsforscher beobachtet, dass das Ökosystem heute fragmentierter ist. Dies stellt für die Verteidiger eine große Herausforderung dar, da so die Angriffsflächen vielfältiger werden, Bedrohungen schwerer zuzuordnen sind und klassische Schutzmechanismen oft nicht mehr ausreichen, um die dynamisch wechselnden Taktiken und Werkzeuge der zahlreichen kleineren Akteure effektiv zu erkennen und abzuwehren.

Podcast: Digitale Landesverteidigung in der Cyber-Reserve

IT-Sicherheit zwischen Hoodie, Anzug und Uniform

Sicherheitsempfehlungen von Check Point

Aus diesen Erkenntnissen schließen die Analysten von Check Point, dass das Ransomware-Ökosystem nicht schrumpft, sondern sich in kleinere Teile zersplittert. Daher seien mehr als nur Patches und Perimeter-Abwehrmaßnahmen erforderlich, um sich zu schützen. Der Hersteller empfiehlt folgende Schutzmaßnahmen:

• Führen Sie eine vernetzte Sicherheitsarchitektur ein, die Endpunkt-, Netzwerk- und Identitätsschutz integriert, insbesondere in hybriden und Multi-Cloud-Umgebungen.

• Setzen Sie Anti-Phishing-Maßnahmen in großem Umfang ein, einschließlich Sensibilisierung der Benutzer, E-Mail-Scans und Verhaltensanalysen, mit denen KI-generierte Köder erkannt werden können.

• Nutzen Sie Täuschungsmanöver und Threat Hunting, um Aktivitäten von Komplizen und laterale Bewegungen frühzeitig in der Angriffskette aufzudecken.

• Segmentieren Sie Ihre Backups und testen Sie die Wiederherstellung regelmäßig. Verlassen Sie sich nicht auf Richtlinien oder Erfolge in der Vergangenheit.

Ransomware-sichere und kostenlose Backups erstellen

Backup mit Synology-NAS

(ID:50529934)