Früher haben die Angreifer nicht viel Zeit im Vorhinein investiert. Nun sind sie zunehmend wählerischer geworden. Die Verbreitungsmethoden sind im Großen und Ganzen dieselben geblieben. Allerdings verbringen die Kriminellen nun vor dem Abladen ihrer Ransomware-Payloads wesentlich mehr Zeit damit, sich über das anvisierte Netzwerk zu informieren.
Durch sorgfältiges Auskundschaften können die Kriminellen mit ihrem Angriff eine größtmögliche Wirkung erzielen und ein entsprechend hohes Lösegeld fordern.
- Sie erkunden das kompromittierte Netzwerk, um sich einen Überblick zu verschaffen, welche Server und Arbeitsstationen sie treffen müssen, um den größten Schaden anzurichten.
- Sie installieren Malware, mit der die Angreifer die infizierten Rechner steuern können.
- Sie sammeln Zugangsdaten und weiten Berechtigungen aus, um sich auch Zugriff auf andere Rechner im Netzwerk zu verschaffen.
- Sie exfiltrieren (also stehlen) Unternehmensdaten, um sie auf dem Schwarzmarkt zu verkaufen oder die Opfer damit zu erpressen.
- Sie machen sich kundig, welche Vorkehrungen für Back-ups eingerichtet sind und wie sie sicherstellen können, dass bei einem Angriff auch diese Sicherungen zerstört werden.
Die häufigsten Angriffsmethoden
- Schwache Zugriffsdaten: Schwache Anmeldedaten sind der Grund für viele Ransomware-Vorfälle. Angreifer nutzen in der Regel Brute-Force-Tools, um schlecht geschützte RDP-Verbindungen (Remotedesktopprotokoll) zu hacken und sich Zugriff auf das interne Netzwerk des Unternehmens zu verschaffen.
- Schwachstellen: Angreifer nutzen auch gern bekannte Sicherheitslücken in Software aus, um sich unerlaubten Zugriff auf das Netzwerk zu verschaffen. Software, die einen Fernzugriff ermöglicht, stellt ein besonders hohes Risiko dar.
- Menschliches Versagen: Die Manipulation der Anwender ist bei den Angreifern auch eine beliebte Methode, um per Spear-Phishing Zugriff auf Unternehmensnetzwerke zu erlangen. Bei dieser Art der Angriffe werden die Benutzer häufig durch einen Trick dazu gebracht, bösartige Anhänge mit eingebettetem Makro zu öffnen, die dann die Malware bereitzustellen, mit deren Hilfe die Angreifer wiederum in andere Teile des Netzwerks vordringen können.
