Ransomware

Ransomware (von für „Lösegeld“), auch Erpressungstrojaner, Erpressungssoftware, Kryptotrojaner oder Verschlüsselungstrojaner, sind Schadprogramme, mit deren Hilfe ein Eindringling den Zugriff des Computerinhabers auf Daten, deren Nutzung und auf das ganze Computersystem verhindern kann. Dabei werden Daten auf dem fremden Computer verschlüsselt oder der Zugriff auf sie verhindert, um für die Entschlüsselung oder Freigabe ein Lösegeld zu fordern.

Die Bezeichnung setzt sich zusammen aus ransom, dem englischen Wort für Lösegeld, und ware, entsprechend dem für verschiedene Arten von Computerprogrammen üblichen Benennungsschema (Software, Malware etc.). Laut einem Bericht von SonicWall fanden 2021 um die 623 Millionen Angriffe durch Ransomware statt. Eine 2022 erschienene Studie beziffert die Summe der erpressten Lösegeldzahlungen auf 256,8 Millionen US-Dollar im Jahre 2022, während es 2021 noch 756,6 Millionen Dollar waren.

Moderne Ransomware-Gruppen wie „Akira“ setzen zunehmend auf doppelte Erpressung (Double Extortion), bei der neben der Verschlüsselung von Daten auch mit der Veröffentlichung gestohlener sensibler Informationen auf sogenannten Leak-Seiten im Tor-Netzwerk gedroht wird.

Geschichte mini|Die erste bekannte Ransomware AIDS wurde als Brief verschickt mini|Bildschirmtext des Trojaners AIDS auf das Jahr 1989 Die Idee geht in den September 1989 zurück, als das Trojanische Pferd AIDS auf Disketten per Post an zahlreiche Forschungseinrichtungen verschickt wurde. Nach einiger Zeit verschlüsselte das Programm die Daten auf der Festplatte. Laut Bildschirmmeldung war die Lizenz abgelaufen. Der Name eines Unternehmens wurde genannt, und eine Postfachadresse in Panama, an die man einen Scheck senden sollte, um einen Lizenzschlüssel zu erwerben und die Daten wieder freizugeben. Das Vorgehen war somit nicht unmittelbar als Erpressung erkennbar. Der Täter, der amerikanische Biologe Joseph L. Popp Jr., konnte überführt werden. Wegen einer psychischen Erkrankung wurden die Ermittlungen gegen ihn eingestellt.

Die erste Malware überhaupt, die Dateien verschlüsseln konnte, war das Bootsektorvirus Disk Killer. Das bösartige Programm war aber nicht auf Erpressung ausgelegt, sondern sollte Datenverluste auf Serveranlagen verursachen. Es erschien ebenfalls im Jahr 1989, laut Signatur wurde es bereits vor dem AIDS-Trojaner geschrieben. Nicht jede Ransomware verschlüsselt Daten, einfachere Programme dieser Art sperren den Rechner mit unterschiedlichen Methoden.

Einer der ersten bekannten Versuche, Ransomware über das Internet zu verbreiten, wurde von Cyberkriminellen im Jahr 2005 mit dem Trojaner TROJ_PGPCODER.A durchgeführt. Für die Entschlüsselung der Daten sollten die Betroffenen mehrere hundert US-Dollar bezahlen. Seit sich Kryptowährungen etabliert haben, ist die Geldüberweisung für die Täter deutlich einfacher und risikoärmer geworden. Daher kam es etwa ab dem Jahr 2010 nahezu weltweit zu einem massiven Anstieg von Straftaten mit Ransomware.

Im polizeilichen Kriminalitätsbericht des Landes Sachsen-Anhalt von 2011 wird ein Fall beispielhaft erwähnt. Ein Täter hatte 831 Computer in diesem Bundesland mit einer Erpressungssoftware infiziert.

Etwa seit 2012 kam es zu häufigen Vorfällen mit verschiedenen Varianten des BKA-Trojaners. Er gab vor, den Rechner im Auftrag einer Strafverfolgungsbehörde wegen illegaler Aktivitäten gesperrt zu haben. Zur Entsperrung sollte ein Bußgeld bezahlt werden. Diese Trojaner verschlüsselten meist keine Daten, sondern sperrten nur das System. In den meisten Fällen ließ sich der Schaden leicht beheben. Opfer, die die geforderte Summe bezahlten, erhielten zudem keine Antwort, bzw. keine Anleitung zum Entsperren des Systems.c’t Security (2018): Sicherheitsratgeber 2018 für Internet & PC, S. 45

Inzwischen sind kostenpflichtige sowie kostenfreie Baukastensysteme, sogenannte Crimeware-Kits, in Untergrundforen aufgetaucht, mit deren Hilfe Ransomware erstellt werden kann.PC-Welt Pocket: Erpresserviren aus dem Baukasten, 7/2012, S. 22

Im Oktober 2013 wurde die Ransomware CryptoLocker bekannt, die erstmals eine Bezahlung in Bitcoin forderte.

2016 ist der Kryptotrojaner Locky aufgetaucht, welcher zehntausende PCs und unter anderem das Fraunhofer-Institut in Bayreuth infizierte. Das Tesla X3-Cryptovirus befiel im Februar 2016 u. a. Rechner des Rathauses in Rheine.Westfälische Nachrichten: Virus legt Rathaus in Rheine lahm, Westfalen, Rheine, mas, 2. März 2016 Vom 1. Dezember 2015 bis zum 29. Februar 2016 wurden nach Angaben des nordrhein-westfälischen Landeskriminalamts 156 Anzeigen wegen Angriffen durch Ransomware erstattet, die Dunkelziffer wird weit darüber vermutet.Westfälische Nachrichten: Alarm im Internet: Landeskriminalamt warnt vor massiven Cyber-Attacken, Titelseite, Düsseldorf/Münster, Hilmar Riemenschneider, Elmar Ries, 9. März 2016 Betroffen waren 113 Firmen und Einrichtungen, unter denen sich etliche Kliniken sowie das Ministerium für Inneres und Kommunales des Landes Nordrhein-Westfalen in Düsseldorf befanden, welches im Dezember 2015 einen Angriff erlitt.Westfälische Nachrichten: Der Krieg der Hacker: Cyber-Erpressungen erleben einen neuen Boom / Auch im Münsterland finden die Kriminellen Opfer, Westfalen, Münsterland, Elmar Ries, 9. März 2016

Im März 2016 wurde KeRanger gefunden, eine Variante eines Kryptotrojaners für OS X. Anfang Juni 2016 informierte das Fraunhofer-Institut für Sichere Informationstechnologie darüber, dass auch Smartphones durch Ransomware betroffen sein können, insbesondere falls diese mit Security-Apps versehen sind, die Sicherheitslücken enthalten, wie sie vom Fraunhofer-Institut in sämtlichen der sieben exemplarisch getesteten Anwendungen gefunden und dem jeweiligen Hersteller zur Behebung gemeldet wurden.Westfälische Nachrichten: Sicherheits-Apps für Android-Geräte können Lücken haben, Service, dpa, 4. Juni 2016

Im Mai 2017 befiel der Computerwurm WannaCry unter anderem mehrere global tätige große Unternehmen in sehr kurzer Zeit; es wurden über 230.000 Computer in 150 Ländern infiziert. Aufgrund dieser Ausmaße bezeichnete das Europäische Polizeiamt den Ausbruch als noch nie da gewesenes Ereignis. Neben der hauptsächlichen Verbreitung als E-Mail-Anhang besitzt WannaCry auch Eigenschaften eines Netzwerkwurms, und versucht, weitere Rechner über Sicherheitslücken in Betriebssystemen aktiv und ohne Nutzerzutun zu infizieren. Die auf aktuellem Update-Stand (April 2017 bei Microsoft) befindlichen Systeme seien nicht betroffen gewesen. Bestimmte Datei- und Druckerdienste müssen freigegeben sein, womit WannaCry die Ausbreitung vor allem in unternehmensinternen Datennetzen mit teilweise lange fehlerbehafteten Rechnersystemen gelang. Das Bezahlen der Forderung war auch in diesem Fall sinnlos, da die Ransomware fehlerhaft programmiert war. Eine problemlose Entschlüsselung der Daten war daher nicht möglich.

Seit 2019 werden Mobiltelefone immer häufiger Opfer von Ransomware-Angriffen. Laut einer Studie des Forschungsinstituts Check Point stieg die Anzahl der Cyberangriffe auf Smartphones und Tablets in der ersten Jahreshälfte 2019 im Vergleich zum Vorjahr um fünfzig Prozent an.

Im Juli 2021 nutzten Cyberkriminelle eine Sicherheitslücke in einer Software für VSA-Server der Firma Kaseya aus. Die Fernwartungssoftware wurde manipuliert um den Trojaner Sodinokibi.N aufzuspielen. Damit wurden die Daten im Netzwerk verschlüsselt. Für die Cyberattacke erklärte sich die russische Hackervereinigung REvil verantwortlich.

2022 wurde die Ransom-Software HIVE entdeckt und unschädlich gemacht.HIVE zerschlagen, am 27. Januar 2023 2023 wurde die russische Ransomware-Gruppe Indrik Spider enttarnt, welche unter anderem einen Ransomware-Angriff auf die Universitätsklinik Düsseldorf durchführte, bei der eine Person verstorben ist. 2023 führte die Ransomware-Gruppe Play eine Welle von Erpressungs-Attacken auf private sowie staatliche Unternehmen in der Schweiz aus.

Ausprägungen Mittlerweile sind Ransomware-Kriminelle dazu übergegangen, nicht nur die Systeme ihrer Opfer zu verschlüsseln und Lösegeld für die Entschlüsselung zu verlangen („single extortion“), sondern auch sensible Kunden- und Unternehmensdaten auszuleiten und mit deren Veröffentlichung zu drohen („double extortion“). Extortion heißt auf Deutsch übersetzt Erpressung. In der internationalen englischen Fachsprache wird zwischen einfacher („single“), zweifacher („double“), bis hin zur mehrfachen („multiple“) Erpressung unterschieden. Die zweite Erpressung bei Double Extortion ist durch die explizite oder implizite Geldforderung der Täterschaft für die Unterlassung der Veröffentlichung ausgespähter Daten geprägt.

Ein Beispiel für Double Extortion ist die Serie der CONTI-Ransomware. Unter dem Namen „Conti News“ richtete die Täterschaft einen Blog auf einer Dark-Web-Seite im Tor-Netzwerk ein. Die Seite war ebenfalls über Clear Web Proxys für jeden im gewöhnlichen Internet erreichbar. Von August 2020 bis Juli 2022 wurden darauf etwa 859 bis 869 Einträge zu Betroffenen, deren Daten durch die CONTI-Ransomware verschlüsselt wurden, veröffentlicht.I. PISAREV: The Conti Enterprise: ransomware gang that published data belonging to 850 companies. In: Group-IB Media-Center Press Releases. 23. Juni 2022. (englisch)P. KNODEL: Zeitnahe Erfassung von menschlich erzeugten Ereignissen aus digitalen Daten – Ein Angriff auf die Dienerschaft der dunklen Dienste, am Beispiel einer Verschlüsselungserpressung. In: Bachelorarbeit / Forschungsarbeit an der Hochschule für Polizei Baden-Württemberg. 14. Oktober 2022. Darunter befanden sich teils größere Unternehmen, die Millionen-Forderungen bezahlten.Arielle WALDMAN: 10 of the biggest ransomware attacks of 2021 -- so far. In: TechTarget Threats & Vulnerabilities. July 2021. (englisch) Auf eine primär CONTI zugerechnete digitale Geldbörse (Krypto-Wallet) für die Kryptowährung Bitcoin (BTC), sind im Zeitraum vom 21. April 2017 bis zum 28. Februar 2022 insgesamt 65.498,197 BTC eingegangen.A. CULAFI: Conti ransomware source code, documentation leaked. In: NEWS. März 2022. (englisch) Der Wert von Kryptowährungen unterliegt starken Schwankungen. In einer Schätzung, ohne die Verfolgung individueller Ein- und Abgänge, hätten 65.000 BTC im Februar 2022 einen Wert von rund zwei bis zweieinhalb Milliarden Euro gehabt. Etwa 53 der von Conti veröffentlichten Betroffenen waren Unternehmen aus Deutschland und weitere hatten Deutschlandbeziehungen. Teile ausgespähter Daten bot die Täterschaft auf ihrem Blog zum Download an. Diese Art von Internetpräsenzen, auf denen ausgespähte Daten angeboten werden, nennen Experten Leak Sites. Im Zeitraum eines Jahres, zwischen Juli 2020 und September 2021, schätzen Forschende allein die von CONTI öffentlich angebotene Datenmenge auf über 18,7 Terabyte.INFINITUM IT: https://github.com/infinitumitlabs/Karakurt-Hacking-Team-CTI Threat Spotlight: Conti Ransomware Group Behind the Karakurt Hacking Team., In: Infinitumit.com.tr und im Bericht Github.com infinitumitlabs/Karakurt-Hacking-Team-CTI auf Seite 8. 7. Juli 2022. (englisch) Diese Zahl ist Moore'sch zu interpretieren. Das heißt, sie beschreibt nach dem Verständnis zu der Zeit, in der die Taten stattfanden, eine große Datenmenge. Durch technische Weiterentwicklungen wird sich die subjektive Wahrnehmung davon, wann eine Menge von Daten groß ist, verändern. In Zukunft wird diese Zahl dann als kleiner verstanden. Durch die Veröffentlichungen auf einer Leak Site erhoffen sich die Täterschaften, die Betroffenen zur Zahlung zu nötigen. Veröffentlicht werden dafür oft personenbezogene Daten, zusammen mit geringwertigem Datenmüll. Manche monetarisieren die gestohlenen Daten zusätzlich auf Marktplätzen im Dark Web.D. SMILYANETS: ‘YES, WE ARE BREAKING THE LAW:’ AN INTERVIEW WITH THE OPERATOR OF A MARKETPLACE FOR STOLEN DATA. In: The Record, Hrsg.: Recorded Future. 17 September 2021. (englisch)