Threat Report 2023 zur Kommerzialisierung der Cyber-KriminalitätCybercrime-as-a-Service-Markt boomt

Cyber-Kriminalität floriert als Geschäftsmodell, Ransomware ist Innovationstreiber und gestohlene Zugangsdaten fungieren als Cash-Cow. Zu diesen Erkenntnissen kommt der aktuelle Sophos Threat Report.

Der Threat Report 2023 von Sophos beschreibt unter anderem einen neuen Grad der Kommerzialisierung innerhalb der Cyber-Kriminalität, durch den zunehmend niedrigschwellige Einstiegsangebote für potenzielle Angreifer verfügbar sind: Fast alle Szenarien sind käuflich. Ein boomender Cybercrime-as-a-Service-Markt steht einer kriminellen Käuferschaft offen, die von technisch hoch versiert bis völlig unwissend reicht.

Zu den Hauptthemen des Reports gehören:

• Die „Cybercrime-as-a-Service“-Industrie hat eine neue Stufe der Kommerzialisierung erreicht, die viele Einstiegshürden für Interessenten von Cyber-Kriminalität beseitigt und bei entsprechender Liquidität fortschrittliche Bedrohungstaktiken in die Hände fast aller Kriminellen legt.
• Ransomware ist nach wie vor eine der größten Bedrohungen für Unternehmen, wobei sich Cyber-Kriminelle auf die „Innovation“ ihrer Angriffstaktiken und Erpressungstechniken konzentrieren.
• Der Krieg in der Ukraine hat zu einer Umstrukturierung der kriminellen Allianzen und einer Neuordnung der Ransomware-Landschaft geführt.
• Cyber-Kriminelle setzen verstärkt auf den Diebstahl von Anmeldeinformationen, um gezielt Netzwerke zu infiltrieren.
  Bedrohungsakteure greifen weiterhin auf legitime Tools und ausführbare Dateien zurück, um Angriffe auszuführen, und bringen zunehmend ihre eigenen Schwachstellen ein.
• Mobile Geräte stehen im Mittelpunkt neuartiger Cyber-Kriminalität – sowohl Android- als auch iOS-Geräte sind betroffen.
• Eine der ältesten Formen der Kryptokriminalität – das Kryptomining – ist rückläufig, da Monero (eine der beliebtesten Währungen) an Wert verliert. Kryptobetrug hingegen ist in Südasien bereits eine wachsende Industrie.

Ransomware als Blaupause für andere Malware-Gattungen

Kriminelle Untergrundmarktplätze wie Genesis ermöglichen seit langem den Kauf von Malware und Malware-Implementierungsdiensten („Malware-as-a-Service“) sowie den Verkauf gestohlener Zugangsdaten und anderer Daten in großen Mengen. In den letzten zehn Jahren hat sich mit der zunehmenden Beliebtheit von Ransomware eine ganze „Ransomware-as-a-Service“-Wirtschaft herausgebildet.

Cyber-Kriminelle haben sich ein Beispiel am Erfolg dieser Infrastruktur genommen und ziehen nach. Jetzt, im Jahr 2022, hat sich das „As-a-Service“-Modell daher massiv ausgeweitet, und fast jeder Aspekt der Cyber-Kriminalität – von der Erstinfektion bis hin zu Möglichkeiten, die Entdeckung zu vermeiden – ist käuflich zu erwerben.

Zudem arbeiten auch Cyber-kriminelle Marktplätze immer mehr wie normale Unternehmen. Einige Marktplätze haben eigene Seiten für Stellengesuche und die Rekrutierung von Mitarbeitenden eingerichtet, wo die Arbeitssuchenden ihre Fähigkeiten und Qualifikationen in Kurzform angeben.

Cyber-Kriminelle verkaufen heute Tools und Fähigkeiten, die sich früher nur in den Händen einiger der raffiniertesten Angreifer befanden als Dienstleistungen an andere Akteure. Im vergangenen Jahr sind zum Beispiel Anzeigen für OPSEC-as-a-Service aufgekommen, in denen die Verkäufer anboten, Angreifern dabei zu helfen, Cobalt Strike-Infektionen zu verstecken. Zudem wurde Scanning-a-Service entdeckt, der Käufern Zugang zu legitimen kommerziellen Tools wie Metasploit gibt, damit sie Schwachstellen finden und dann ausnutzen können. Diese Kommerzialisierung fast aller Komponenten der Cyber-Kriminalität eröffnet Angreifern aller Art neue Möglichkeiten.

Verschiebung Cyber-krimineller Partnerschaften durch Ukraine-Krieg

Traditionell sind, bzw. waren Ukrainer und Russen seit langem Partner im Cybercrime-Geschäft – vor allem, wenn es um Ransomware geht. Mit Ausbruch des Krieges sind jedoch einige Banden auseinandergebrochen. Dies führte unter anderem zu den Conti Leaks – der Veröffentlichung der Chat-Protokolle dieser Ransomware-Gruppe.

Ein anderer Twitter-Account behauptete auch, die angeblichen Mitglieder von Trickbot, Conti, Mazo, Diavol, Ryuk und Wizard Spiders ausgespäht zu haben. Insgesamt ist die internationale Arbeit gegen Ransomware dennoch nicht einfacher geworden. So haben sich Ransomware-Gruppen neuformiert, und es scheint unter anderem, dass ein neues „REvil“ aufgetaucht ist.

Ransomware bleibt beliebt und innovativ

Ransomware ist trotz des Ausbaus der Infrastruktur für Cyber-Kriminalität weiterhin sehr beliebt und äußerst profitabel. Im vergangenen Jahr haben die Betreiber von Ransomware daran gearbeitet, ihren potenziellen Angriffsdienst zu erweitern, indem sie andere Plattformen als Windows ins Visier genommen und neue Sprachen wie Rust und Go eingeführt haben, um nicht entdeckt zu werden. Einige Gruppen, allen voran Lockbit 3.0, haben ihre Operationen diversifiziert und „innovativere“ Methoden zur Erpressung von Opfern entwickelt.

Lockbit 3.0 bietet jetzt Bug-Bounty-Programme für seine Malware an und holt sich von der kriminellen Gemeinschaft Ideen zur Verbesserung seiner Operationen. Andere Gruppen sind zu einem „Abonnementmodell“ für den Zugriff auf ihre erbeuteten Daten übergegangen, und wieder andere versteigern sie.

Heiße Ware Zugangsdaten

Die sich entwickelnde Ökonomie des Untergrunds hat nicht nur Anreize für das Wachstum von Ransomware und der „As-a-Service“-Industrie geschaffen, sondern auch die Nachfrage nach gestohlenen Zugangsdaten erhöht. Mit der Ausweitung von Webdiensten können verschiedene Arten von Anmeldeinformationen, insbesondere Cookies, auf vielfältige Weise genutzt werden, um in Netzwerken tiefer Fuß zu fassen und sogar Multifaktorauthentifizierung zu umgehen. Der Diebstahl von Anmeldedaten ist auch eine der einfachsten Möglichkeiten für Kriminelle, Zugang zu Untergrundmärkten zu erhalten und ihre „Karriere“ zu beginnen.

Der Sophos Threat Report 2023 beruht auf Untersuchungen und Erkenntnissen von Sophos X-Ops, einer neuen, funktionsübergreifenden Einheit, die drei etablierte Teams von Cybersecurity-Experten bei Sophos (SophosLabs, Sophos SecOps und Sophos AI) miteinander verbindet. Sophos X-Ops umfasst mehr als 500 Cybersecurity-Experten weltweit, die in der Lage sind, ein vollständiges, multidisziplinäres Bild einer zunehmend komplexen Bedrohungslandschaft zu zeichnen. Wenn Sie mehr über die täglichen Cyber-Attacken und TTPs erfahren möchten, folgen Sie Sophos X-Ops auf Twitter und abonnieren Sie aktuelle Artikel und Reports zu Bedrohungsforschung und Sicherheitsoperationen von den vordersten Frontlinien der Cyber-Sicherheit.

Sean Gallagher ist Principal Threat Researcher bei Sophos.

Hier geht es zum Sophos Threat Report 2023.