Zscaler stellt die Ergebnisse seines jährlichen ThreatLabz-Ransomware-Reports 2023 vor. Der diesjährige Bericht verfolgt die anhaltende Zunahme komplexer Ransomware-Angriffe und beleuchtet die jüngsten Ransomware-Trends, darunter die Ausrichtung auf öffentliche Einrichtungen und Organisationen mit Cyberversicherungen, das Wachstum von Ransomware-as-a-Service (RaaS) und verschlüsselungslose Erpressung. Seit April 2022 hat ThreatLabz im Rahmen erfolgreicher Ransomware-Angriffe den Diebstahl von mehreren Terabyte an Daten festgestellt, die dann zur Erpressung von Lösegeld verwendet wurden.
„Ransomware-as-a-Service hat zu einem stetigen Anstieg von ausgefeilten Ransomware-Angriffen beigetragen,“ sagt Deepen Desai, Global CISO und Head of Security Research bei Zscaler. „Die Malware-Autoren operieren zunehmend unter dem Radar, indem sie auf verschlüsselungslose Angriffe setzen, die mit einer großen Menge an gestohlenen Daten einhergehen. Organisationen sollten herkömmliche Sicherheitsprodukte hinter sich lassen und zu einer ganzheitlichen Zero-Trust-Plattform migrieren, die zu einer Reduktion der Angriffsfläche beiträgt, Kompromittierung verhindert und die Auswirkungen erfolgreicher Angriffe eindämmen kann, sowie Datenexfiltrierung vorbeugt.“
Die Entwicklung von Ransomware ist durch das umgekehrte Verhältnis zwischen der Raffinesse der Angriffe und der Einstiegshürde für neue cyberkriminelle Gruppen bestimmt. Die Einstiegshürde sank, während die Cyberangriffe immer ausgefeilter wurden, was auf die zunehmende Verbreitung von RaaS zurückzuführen ist. Bei diesem Geschäftsmodell verkaufen die Bedrohungsakteure ihre Dienste für 70 bis 80 Prozent der Ransomware-Gewinne über das Darkweb. Dieses Modell hat in den letzten Jahren weiter an Popularität gewonnen, was die Häufigkeit von Ransomware-Angriffen verdeutlicht, die um fast 40 Prozent gestiegen ist. Ein weiterer Trend von Cyberangriffen 2023 ist das Wachstum der verschlüsselungslosen Erpressung, bei der die heimliche Datenexfiltration gegenüber störenden Verschlüsselungsmethoden bevorzugt wird.
Die wichtigsten Länder im Visier von Ransomware
Die USA waren am häufigsten Ziel von Ransomware-Angriffen mit doppelter Erpressung, denn 40 Prozent aller Opfer waren in dieser Region beheimatet. Kanada, Großbritannien und Deutschland kombiniert, hatten zusammen weniger als die Hälfte der Angriffe im Vergleich zu den USA. Zu den am weitesten verbreiteten Ransomware-Familien, die Zscaler ThreatLabz beobachtet hat, gehören BlackBasta, BlackCat, Clop, Karakurt und LockBit, die alle eine erhebliche Bedrohung für finanzielle Verluste, Datenverletzungen und Betriebsunterbrechungen für Mitarbeitende und Unternehmen jeder Größe darstellen.
Im vergangenen Jahr war die am häufigsten angegriffene Branche weltweit die Fertigungsindustrie, die für ihre Abhängigkeit von geistigem Eigentum und kritischer Infrastruktur bekannt ist – beides attraktive Ziele für Ransomware-Gruppen. Alle von Zscaler verfolgten Ransomware-Gruppen zielten auf Unternehmen in dieser Branche ab und hatten unter anderem Unternehmen im Visier, die in der Produktion von Waren für die Automobil-, Elektronik- und Textilindustrie tätig sind. Die BlackBasta-Ransomware-Familie war besonders an Fertigungsunternehmen interessiert und führte mehr als 26 Prozent ihrer Angriffe auf diese Branche durch.
Ransomware-Trends
Im Jahr 2021 beobachtete ThreatLabz 19 Ransomware-Familien, die bei ihren Cyberangriffen einen doppelten oder mehrfachen Erpressungsansatz verfolgen. Diese Zahl ist inzwischen auf 44 beobachtete Ransomware-Familien gestiegen. Diese Art von Angriffen ist deshalb so beliebt, weil die Angreifer nach der Verschlüsselung der gestohlenen Daten mit deren Veröffentlichung drohen, um den Druck auf die Opfer zu erhöhen. Die zunehmende Beliebtheit von verschlüsselungslosen Erpressungsangriffen, bei denen der Verschlüsselungsvorgang übersprungen wird, beruht auf der gleichen Taktik. Dabei wird den betroffenen Unternehmen gedroht, die gestohlenen Daten online zu veröffentlichen, wenn diese die Lösegeldzahlung verweigern. Diese Taktik beschert den Ransomware-Gruppierungen schnellere und größere Gewinne, da die Softwareentwicklungszyklen und der Entschlüsselungssupport entfallen. Außerdem sind diese Angriffe schwieriger zu entdecken und werden von den Behörden weniger beachtet, da sie keine wichtigen Dateien und Systeme sperren oder mit der Wiederherstellung verbundene Ausfallzeiten verursachen. Daher stören verschlüsselungslose Erpressungsangriffe ihre Opfer in der Regel nicht in ihrem Geschäftsbetrieb, was wiederum zu einer geringeren Meldequote führt. Ursprünglich begann der Trend zur verschlüsselungslosen Erpressung mit Ransomware-Gruppen wie Babuk und SnapMC. Im Laufe des letzten Jahres übernahmen eine Reihe neuer Familien diese Taktik, darunter Karakurt, Donut, RansomHouse und BianLian.
Schutz vor Ransomware-Angriffen
Zum Schutz vor Ransomware trägt ein mehrschichtiger Verteidigungsansatz dazu bei, das Gesamtrisiko zu verringern und die Wirksamkeit von Angriffen in jeder Phase zu reduzieren – von der anfänglichen Kompromittierung über die seitliche Bewegung und die Datenexfiltration bis hin zur Ausführung der Payload. Die Zscaler Zero Trust Exchange-Plattform sorgt durch das Zero Trust-Rahmenwerk für umfassenden Schutz. Darüber hinaus empfehlen sich die folgenden Maßnahmen zur Risikoreduktion:
Verhindern der Erstinfektion: Durch die Umsetzung konsistenter Sicherheitsrichtlinien mit umfangreicher SSL-Inspektion, Browser Isolation, inline Sandboxing und richtlinienbasierter Zugriffskontrolle können Organisationen den Zugang zu Webseiten mit Schadcode unterbinden und auf diese Weise Kanäle für das Zustandekommen der Erstinfektion blockieren und verhindern, dass Schadcode User erreicht.
Kompromittierte User und Insider-Bedrohungen stoppen: Durch eine Kombination von inline Application Inspection und Identity Threat Detection & Response (ITDR) mit integrierten Täuschungskapzitäten können Organisationen potenzielle Angreifer aufspüren, in die Irre führen und stoppen, unabhängig davon, ob es sich um interne oder externe Angreifer handelt.
Die Angriffsfläche reduzieren und laterale Bewegungen eliminieren: Angreifer werden daran gehindert, sich innerhalb des Unternehmensnetzes fortzubewegen, wenn Anwendungen vom Internet abgekoppelt werden und eine Zero Trust Network Access (ZTNA)-Architektur zum Einsatz kommt. Auf diese Weise werden User direkt mit Anwendungen und Anwendungen untereinander verbunden, ohne das Netzwerk, wodurch sich Sicherheitsvorfälle eindämmen lassen.
Schutz vor Datenverlust: Die Implementierung von Inline Data-Loss-Prevention mit vollständiger TLS-Inspektion sorgt für die sorgfältige Überwachung von Daten im Transit und ohne Bewegung und unterbindet Datendiebstahlsversuche. Das regelmäßige Update von Software und umfangreiche Schulungsmaßnahmen helfen zudem, den Angreifern einen Schritt voraus zu bleiben.
Durch die Zscaler-Zero-Trust-Exchange und die Umsetzung dieser Sicherheits-Best Practices schützen Organisationen ihre User, Workloads, IoT- & OT-Geräte und B2B-Connectivity, so dass ihre wertvollen Daten sicher geschützt sind angesichts der sich rasant entwickelnden Bedrohungslandschaft.
Info: Methodologie
Das ThreatLabz-Team wertete Daten aus der Zscaler-Security-Cloud aus, die täglich mehr als 500 Billionen Signale überwacht und acht Milliarden Bedrohungen pro Tag blockiert, wobei täglich mehr als 250.000 Sicherheits-Updates durchgeführt werden. ThreatLabz analysierte ein Jahr lang globale Phishing-Daten aus der Zscaler-Cloud von April 2022 bis April 2023, um wichtige Trends, gefährdete Branchen und Regionen sowie neue Taktiken zu ermitteln. In diesem Jahr ergänzte das ThreatLabz-Team seine eigene Analyse von Ransomware-Samples und Angriffsdaten mit externer Sicherheitsintelligenz.
Der ThreatLabz-Ransomware-Reports 2023 steht unter diesem Link zum Download bereit.
Zscaler
