So erpressen Cyberkriminelle Konzerne und Unternehmen – Zuerst werden alle Rechner verschlüsselt, dann beginnt die Erpressung. Ransomware gilt als eine der größten Bedrohungen für Unternehmen weltweit. Doch wie funktioniert das Geschäft mit der Erpressung überhaupt? Kann es jeden treffen? Kann man sich dagegen absichern? Viele Fragen die auch von IT-Security Spezialisten stark diskutiert werden.
So erpressen Cyberkriminelle Konzerne
„Wir haben überwiesen“ lautet die Nachricht in einem Chat, die dokumentiert, wie es Hackern gelungen ist, bei einem deutschen Mittelständler 1,27 Millionen US-Dollar zu erpressen. Nach tagelangen Verhandlungen und Androhungen von Daten-Leaks hat der Kupferhersteller KME aus Osnabrück die Hacker bezahlt um wieder an ihre verschlüsselten Daten zu gelangen. In den vergangenen zwei Jahren sind dutzend solcher Fälle bekannt geworden. Große und auch kleine Unternehmen sind immer wieder Ziel von Ransomware-Angriffen. Dabei versuchen die Kriminellen Lösegeld für verschlüsselte Daten zu erhalten. Immer häufiger werden Unternehmen auch mit der Androhung der Veröffentlichung von internen Daten erpresst.
Der Digitalverband Bitkom spricht von einem Schaden in Höhe von rund 10,5 Milliarden Euro in den Jahren 2018 und 2019. Tendenz steigend. Laut BKA ist Ransomware die größte Bedrohung für die deutsche Wirtschaft. Vor allem größere Unternehmen stehen im Fokus der Erpresser sagt Carsten Meywirth, Abteilungsleiter für Cybercrime. „Die Täter schauen, dass sie sich große Fische an Land ziehen, wo sie sehr hohe Lösegeldforderungen realisieren können.“
Hacker: „Wir wollen nur profitieren“
Im Fall von KME war die Produktion in Teilen eingeschränkt durch den Cyberangriff. Polizei und Staatsanwaltschaft wurden eingeschaltet. Zudem wurde ein Verhandlungsführer eingesetzt welcher mit den Hackern Kontakt aufnehmen sollte. Freundlicherweise legten die Hacker eine Text-Datei mit dem Namen „Lies mich“ auf den verschlüsselten Systemen ab. Darin detaillierte Anweisungen wie man vorgehen sollte. Unter anderem auch der Vermerk:
„Das ist für uns nur ein Geschäft. Wir haben absolut kein Interesse an euch, wir wollen nur profitieren.“
Zunächst wollten die Hacker 7,5 Millionen US-Dollar. „Es ist unmöglich für meinen Klienten, euch 7,5 Millionen Dollar zu zahlen“, begann der Verhandlungsführer, frei übersetzt, das Gespräch und führte aus, dass die Corona-Pandemie auch KME hart getroffen habe. Die Hacker zeigten sich unbeeindruckt:
„Wir haben jeden Tag mit vielen Firmen Deals, Covid 19 ist bereits eingepreist.“ Sie fügten eine Unternehmensbilanz und die Versicherungspolice des Konzerns hinzu, mit den Worten: „Falls ihr das nicht zur Hand haben solltet“.
Die Hacker konnten sich als im Netzwerk des Kupferherstellers mühelos umsehen bevor sie die Höhe des Lösegeldes festlegten. Aus dem englischsprachigen Chat, der BR Recherche und dem ARD-Wirtschaftsmagazin Plusminus in Gänze vorliegt, ergibt sich zum ersten Mal, wie genau die kriminellen bei der Erpressung vorgehen. Gelingt es Hackern zeitgleich mehrere Firmen zu infizieren, dann müssen Prioritäten gesetzt werden erklärt eine IT-Sicherheitsexpertin. Dabei hilft es den jährlichen Umsatz des Unternehmens zu kennen.
Tagelang wurde verhandelt
Tagelang wurde an einem Deal gearbeitet um von den Erpressern den Schlüssel zum Entschlüsseln zu erhalten. Der Verhandlungsführer appellierte an das Gewissen der Hacker: „Sie haben das falsche Opfer ausgewählt, unsere Versicherung übernimmt kein Lösegeld. Deshalb sind maximal 750.000 drin, und das kostet schon Jobs, aber das ist euch ja egal.“ Im Gegenzug wurde gedroht Daten zu leaken. Erst als die Erpresser merkten, dass sie tatsächlich Geld sehen würden, reduzierten sie den Preis. Man einigte sich am Ende auf die Summe von 1,27 Millionen US-Dollar in der Digitalwährung Monero. Aber nicht immer ist die Zahlung des Lösegeldes auch eine Garantie wieder an die verschlüsselten Daten zu gelangen. Das BKA rät grundsätzlich davon ab die Lösegelder zu bezahlen. Dennoch sind manchmal gar keine Daten mehr vorhanden und dann zahlen die Unternehmen. Und so erpressen Cyberkriminelle Konzerne…
Die Hacker im KME-Fall hinterlegten eine Art Steckbrief, direkt neben dem Chatfenster. Dort heißt es: „Vermutlich kennt ihr uns schon. In vielen Artikeln werden wir ‚Sodinokibi‘ genannt.“ Die Hacker geben an, besonders professionell zu arbeiten, Anfängerfehler würden nicht passieren. „Sie sollten froh sein, von uns gehackt worden zu sein und nicht von unseren Konkurrenten“, steht dort. Wer hinter der Gruppe Sodinokibi steckt ist unklar.
Daten konnten entschlüsselt werden
Am Ende konnte der Konzern KME seine Daten wieder entschlüsseln. Die Hacker gaben auch noch Tipps wie das Unternehmen sich besser gegen Hacker schützen könne. Sie erklärten wie es Ihnen gelungen war in das Netzwerk einzudringen. Sie erkauften sich die Login-Daten für den Zugang ins Netz und anschließend haben Sie das Passwort eines Administrator erraten (BruteForce). Dieser Fall und einige andere zeigen wie wichtig die IT-Security für Unternehmen ist. „Die Unternehmen müssen es den Hackern so schwer wie möglich machen“ sagt ein IT-Security Spezialist.
Weitere Interessante Berichte zu Hackern, Trojanern und Co finden Sie hier:
Emotet ist wieder zurück – Vorsicht Malware
Emotet in verschlüsselten Anhängen
Cybercrime steigt auf neues Niveau an
Quelle und Originalbeitrag von Tagesschau.de –> https://www.tagesschau.de/wirtschaft/ransomware-101.html
Sie benötigen ein umfassende Analyse Ihrer IT-Sicherheitsinfrastruktur?
Sprechen Sie uns an!
