Zusammenfassung: Die Evolution moderner Ransomware-Angriffe
Das traditionelle Muster von Phishing-Angriffen – E-Mail öffnen, Schadcode ausführen, direkte Verschlüsselung – gehört der Vergangenheit an. Aktuelle Bedrohungsanalysen zeigen eine Wende: Initiale E-Mails enthalten längst keine gefährlichen Inhalte mehr. Die tatsächliche Ransomware wird oft erst Wochen später und durch völlig unabhängige Akteure im System platziert.
Ursachen für die Methodenumstellung
Als Reaktion auf verschärfte Schutzmaßnahmen (wie die Zerschlagung des Necurs-Botnetzes 2019 sowie ausgereiftere Mail-Filter) passten Cyberkriminelle ihre Strategien an. Statt massenhafter Direktinfektionen setzen sie heute auf mehrstufige, präzise Angriffe, um herkömmliche Sicherheitskontrollen gezielt zu umgehen.
Sechs prägende Muster moderner Bedrohungsinfrastrukturen
- Vertrauenswürdige Einstiegspunkte: Nutzung legitimer Cloud-Dienste (Google Drive, Dropbox, Slack, GitHub) für Links, die von Filtern als risikoarm eingestuft werden.
- Reputationsstarke Domains: Weiterleitungen über gehackte oder geparkte Webseiten mit gutem Ruf zur Erschöpfung automatisierter Sandbox-Analysen.
- Spurlose Payloads: Einsatz speicherbasierter Dropper und Windows-Bordmittel (z. B. Certutil), um Dateien im Festplattenspeicher vollständig zu vermeiden.
- Handel mit Erstzugängen: Ransomware-Betreiber kaufen verifizierte Zugangsdaten auf Untergrundmärkten, statt das System selbst zu kompromittieren.
- Missbrauch von IT-Werkzeugen (RMM): Legitime Fernwartungssoftware wird zur dauerhaften Absicherung des Zugriffs genutzt und verschmilzt unauffällig mit dem regulären Netzwerkverkehr.
- Arbeitsteilung der Akteure: Die zeitliche und finanzielle Trennung zwischen dem Erstzugang (Phishing-Spezialisten) und der eigentlichen Erpressung (Ransomware-Gruppen) erschwert die Nachverfolgung.
Ablauf einer modernen Angriffskette in 5 Phasen
- Phase 1 (Initiales Phishing): Unauffällige E-Mail ohne Schadcode mit einem Link zu einem Cloud-Dienst.
- Phase 2 (Umleitung): Mehrstufiges Routing über vertrauenswürdige Plattformen zur Verschleierung der Ziel-URL.
- Phase 3 (Dropper-Einsatz): Ein speicherbasierter Dropper prüft die Umgebung auf Überwachung und nistet sich im Arbeitsspeicher ein.
- Phase 4 (Netzwerk-Aufklärung): Der Angreifer identifiziert kritische Daten, kartiert das System und bereitet den synchronisierten Schlag vor.
- Phase 5 (Ransomware-Aktivierung): Wochen später führt ein separater Akteur die finale Verschlüsselung aus.
Fallbeispiel: ClickFix-Methode
Ein prägnantes Beispiel für die Umgehung klassischer Kontrollen ist die „ClickFix“-Technik. Hierbei wird dem Opfer eine angebliche Fehlermeldung angezeigt. Das System bringt den Nutzer dazu, selbstständig einen präparierten PowerShell-Befehl aus der Zwischenablage auszuführen. Der eigentliche Schadcode wird anschließend direkt aus DNS-TXT-Einträgen im Speicher geladen – ohne lokale Dateien zu schreiben oder verdächtige HTTP-Anfragen auszulösen.
Fazit
Da moderne Ransomware-Prozesse in ihren Einzelteilen kaum als bösartig auffallen, versagen traditionelle Signaturen und Gateways oft. Der effektivste Schutz setzt daher ganz am Anfang der Kette an: Neben der Filterung verdächtiger Kommunikationsmuster bildet die kontinuierliche Sensibilisierung der Mitarbeiter den entscheidenden Faktor, um den ersten Interaktionsschritt zu verhindern und die Kette vor ihrer Aktivierung zu unterbrechen.
Links: https://blog.knowbe4.com/how-ransomware-delivery-has-evolved
