Schon ein ungeschütztes Gerät genügt

Steigende Remote-Ransomware-Angriffe

Erfolgreiche Ransomware-Gruppierungen wechseln immer häufiger auf Remote-Verschlüsselung, laut Sophos‘ neuestem CryptoGuard-Report. Das Problem: traditioneller Anti-Ransomware-Schutz ’sieht‘ die Bedrohung nicht und greift ins Leere.

Sophos hat einen neuen Report mit Auswertungen seiner CryptoGuard-Abwehrtechnologie veröffentlicht. Die erfolgreichsten und aktivsten Ransomware-Gruppierungen wie Akira, ALPHV/ BlackCat, LockBit, Royal oder Black Basta wechseln demnach bewusst auf Fernverschlüsselung für ihre Angriffe. Bei dieser sogenannten ‚Remote Ransomware‘ nutzen Cyberkriminelle ein kompromittiertes und oft schlecht geschütztes Endgerät, um Daten auf anderen Geräten zu verschlüsseln, die mit dem gleichen Netzwerk verbunden sind. Seit 2022 hat Sophos mit seiner CryptoGuard-Technologie gegen Ransomware ein Wachstum von 62 Prozent für Remote-Angriffe verzeichnet. Mark Loman, Vice President Threat Research bei Sophos: „Unternehmen können heutzutage tausende gut gesicherte Computer betreiben, aber mit Remote Ransomware genügt schon ein ungeschütztes Gerät, um das gesamte Netzwerk zu kompromittieren. Angreifer wissen darum und suchen gezielt nach dieser einen Schwachstelle – und bei den meisten Firmen findet sich mindestens eine. Remote-Verschlüsselung wird ein dauerhaftes Problem bleiben und in Anbetracht der Warnmeldungen lässt sich sagen, dass diese Angriffsmethode stetig wächst.“

Das Problem bei dieser Fernverschlüsselung ist, dass die traditionellen Anti-Ransomware Schutzmaßnahmen, die auf den Remote-Geräten laufen, diese schadhaften Dateien oder ihre Aktivitäten nicht erkennen und damit auch nicht vor Verschlüsselung oder Datenverlust schützen können. Die CryptoGuard-Technologie setzt auf einen neuartigen Ansatz: sie analysiert die Inhalte der Dateien, um zu prüfen, ob irgendwelche Daten verschlüsselt wurden. Damit entdeckt sie Ransomware-Aktivitäten auf jedem Gerät im gesamten Netzwerk – auch wenn sich keine Schadsoftware auf dem Gerät befindet. CryptoGuard sucht nicht nur nach Ransomware, sondern sie konzentriert sich auf die primären Ziele – die Dateien. Es setzt eine mathematische Prüfung bei Dokumenten ein, um Anzeichen von Manipulation oder Verschlüsselung aufzuspüren. Dabei ist CryptoGuard bewusst nicht auf Indikatoren für Verstöße, Bedrohungssignaturen, künstliche Intelligenz, Cloud-Lookups oder Vorwissen angewiesen. Teil des asymmetrischen Abwehransatzes ist es, Kosten und Komplexität für eine erfolgreiche Datenverschlüsselung für die Angreifer zu erhöhen, so dass sie letztlich ihr Ziel aufgeben.