Ransomware as a Service erleichtert Cyberkriminellen die Arbeit

Aktuellen Arctic Wolf Labs Threat Report basiert auf globalen Bedrohungs-, Malware-, digitalen Forensik- und Incident-Response-Falldaten. Einer der auffälligsten Trends in der Bedrohungslandschaft war ein deutlicher Anstieg der Anzahl erfolgreicher BEC-Angriffe im Vergleich zu 2021. Die Kompromittierung von Geschäfts-E-Mails – E-Mail-Account-Compromise (EAC) – machten im letzten Jahr mehr als ein Viertel (29 %) der Incident-Response-Vorfälle aus, wobei die Mehrheit (58 %) der Opfer keine Multi-Faktor-Authentifizierung (MFA) aktiviert hatte.

Zunahme von Ransomware as a Service

Der Einmarsch Russlands in die Ukraine hat die Aktivitäten von Bedrohungsakteuren in diesen beiden Ländern erheblich gestört, was zu einem Rückgang der weltweit beobachteten Ransomware-Fälle um 26 % im Vergleich zum Vorjahr geführt hat. Gleichzeitig hat die Nutzung von Ransomware as a Services (RaaS) zugenommen, was es auch technisch weniger versierten Cyberkriminellen ermöglicht, Ransomware-Angriffe auszuführen und die Identitäten der Bedrohungsakteure zu verschleiern.

Die höchste Anzahl an Ransomware-Opfern entfiel im Jahr 2022 auf fünf Ransomware-Varianten, die alle unter das RaaS-Paradigma fallen. Erschwerend kommt hinzu, dass nachweislich zum Teil mehrere Ransomware-Varianten gleichzeitig eingesetzt werden bzw. dass Angreifer zwischen den Varianten hin- und herspringen und unterschiedliche Optionen erproben.  LockBit hat sich dabei als dominierende Ransomware-Gruppe etabliert, wobei die E-Kriminalitätsorganisation mit 822 gelisteten Opferorganisationen 248 % mehr Betroffene als BlackCat (ALPHV), die zweitaktivste Gruppe, hatte. Weitere Gruppen waren Conti, BlackBasta und Hive.

Log4Shell und ProxyShell greifen ungepatchte Schwachstellen an

Bedrohungsakteure nutzen dabei unterschiedliche Methoden, um sich Zugang zu den Systemen ihrer Opfer zu verschaffen: Knapp zwei Drittel (72 %) entfielen im letzten Jahr auf externe Angriffe, wobei 3 % der Sicherheitsvorfälle durch Fehlkonfigurationen der IT-Systeme, 24 % durch Remote Access Hijacking und 45 % durch bekannte Schwachstellen verursacht wurden, für die bereits Sicherheits-Patches und -Updates verfügbar waren. Dabei sind die Schwachstellen in Microsoft Exchange (ProxyShell) und Log4j (Log4Shell), die bereits im Jahr 2021 bekannt geworden sind, nach wie vor die beiden häufigsten Angriffspunkte (Root Points of Compromise, RPOC) unter den Incident-Reponse-Fällen. Neben externen Angriffen, bei denen eine technische Schwachstelle ausgenutzt wird, gibt es Methoden, bei denen die angegriffenen Nutzer selbst (unwissend) aktiv werden und z. B. eine maliziöse Website oder Datei öffnen. Dabei entfielen im letzten Jahr 12 % auf Phishing E-Mails, 7 % auf schlechte Passworthygiene und vormals geleakte Zugangsdaten, 4 % auf weitere Social-Engineering-Methoden und 5 % auf weitere RPOCs.

Für den Threat Report nutzen die Arctic Wolf Labs mehr als drei Billionen Sicherheitsereignisse, die die Security Operations Cloud jede Woche verarbeitet, auswertet, anreichert und analysiert.