Im November übernahm ein Hacker die Kontrolle über ein Computernetzwerk der San Francisco Municipal Transportation Agency. Am Tag nach Thanksgiving, berichtet Popular Mechanics, gingen die Ticketschalter der Stadtbahn von San Francisco offline, als auf den Bildschirmen der Agenturen angezeigt wurde: „Sie haben gehackt, ALLE Daten verschlüsselt. Kontakt für Schlüssel ( [email protected] ) ID: 681, Eingabe.“ Der Hacker an dieser Adresse sagte, der Entschlüsselungsschlüssel würde 100 Bitcoins oder etwa 73.000 US-Dollar kosten und bis Dienstag geliefert werden. Und es stellt sich heraus, dass das Überraschendste an diesem Vorfall ist, dass er noch nie zuvor passiert ist.
Es ist schwierig, genaue Zahlen zu Cyberangriffen zu erhalten, da sie darauf angewiesen sind, sich zu tarnen, aber die verfügbaren Daten für Ransomware zeichnen ein düsteres Bild. Eine Studie des Forschungs- und Sicherheitsunternehmens Malwarebytes von Osterman vom Juni 2016 ergab, dass 47 Prozent der US-Unternehmen – Unternehmen, Krankenhäuser, Schulen, Regierungsbehörden – mindestens einmal im Vorjahr mit Ransomware infiziert waren. 12 Prozent der britischen Befragten wurden mindestens sechsmal getroffen. Weltweit zahlten 37 Prozent der Organisationen.
Heimanwender könnten in noch schlechterer Verfassung sein. Von den mehr als 2,3 Millionen Benutzern von Kaspersky-Labs-Sicherheitsprodukten, die zwischen April 2015 und März 2016 auf Ransomware stießen, waren fast 87 Prozent zu Hause. Kein Wort darüber, wie viele bezahlt haben, aber mit Lösegeldern von durchschnittlich ein paar hundert Dollar und Erlösen aus Ransomware, die in den ersten drei Monaten des Jahres 2016 auf 209 Millionen Dollar geschätzt wurden, waren es wahrscheinlich ziemlich viele.
Das Größte an Malware
„Ransomware wurde von einer von vielen Techniken, die von Angreifern verwendet werden, zu einem der effektivsten Tools in ihrer Toolbox befördert“, schreibt Andrew Howard, Chief Technology Officer bei Kudelski Security , in einer E-Mail. „Es ist für mich etwas überraschend, dass Angreifer erst jetzt gebraucht haben, um diese Art von Technik zu nutzen.“
„Andere Arten von Malware sind immer noch weit verbreitet“, schreibt Howard, „aber ihnen fehlen die finanziellen Vorteile von Ransomware.“
Angriffe sind genial einfach: Ein Computerbenutzer fällt auf eine Phishing-E-Mail herein oder stolpert über eine beschädigte Webseite, und eine schädliche Software wird heruntergeladen. Es verschlüsselt (oder blockiert anderweitig den Zugriff auf) die Dateien des Computers und die Infektion breitet sich von diesem Computer auf jeden anderen Computer aus, der mit ihm verbunden ist. Der Hacker meldet sich selbst, stellt eine Kontaktmethode bereit und verspricht den Entschlüsselungsschlüssel gegen Zahlung, typischerweise in einer digitalen „Kryptowährung“ wie Bitcoin oder MoneyPak, die schwieriger zu verfolgen ist als Bargeld .
Die schiere Menge an Angriffen ist atemberaubend. Die US-Heimatschutzbehörde schätzt für 2016 durchschnittlich 4.000 pro Tag, 300 Prozent mehr als im Vorjahr.
Joe Opacki, Vizepräsident für Bedrohungsforschung bei PhishLabs , sagt, Ransomware habe „die Art und Weise verändert, wie Cyberkriminelle Geld verdienen“.
„Anstatt Daten stehlen und verkaufen oder Botnetze an andere Cyberkriminelle vermieten zu müssen, bietet Ransomware eine direkte Bezahlung“, schreibt Opacki in einer E-Mail. „Sie infizieren einen Computer und das Opfer bezahlt Sie. Keine zusätzlichen Schritte, keine Zwischenhändler, die ihren Anteil übernehmen ...“
Dies ist kein neues Konzept. Frühe Versionen des Schemas gehen auf das Jahr 1989 zurück , als Hacker den AIDS-Trojaner per Post über infizierte Disketten verbreiteten. Das Programm, von dem angenommen wird, dass es Teil eines globalen Erpressungsschemas ist, verschlüsselte einen Teil des Stammverzeichnisses eines PCs.
Dieser Malware-Pionier wurde schnell besiegt. Jahrzehntelang wurden jedoch sowohl die Übermittlungs- als auch die Verschlüsselungsmethoden verfeinert.
Ransomware richtig gemacht
Nolen Scaife, Doktorand für Informationssysteme an der University of Florida (UF) und wissenschaftlicher Mitarbeiter am Florida Institute for Cybersecurity Research , sagt, Ransomware sei ein harter Gegner.
„Die Verteidigung gegen diese Art von Angriffen ist enorm schwierig, und wir sehen erst jetzt plausible Abwehrmaßnahmen gegen Ransomware“, schreibt Scaife.
Ransomware-Angriffe „weichen jedes Mal leicht ab“, erklärt er, was es schwierig macht, sie zu erkennen und zu deaktivieren. Erschwerend kommt hinzu, dass Ransomware-Aktivitäten in einem System legitimen Aktionen ähneln, die ein Administrator ausführen könnte.
Das Team von Scaife bei UF hat ein Ransomware-Erkennungsprogramm namens CryptoDrop entwickelt, das „versucht, den Ransomware-Verschlüsselungsprozess zu erkennen und zu stoppen“. Je weniger Daten die Malware verschlüsseln kann, desto weniger Zeit wird für die Wiederherstellung von Dateien aus dem Backup aufgewendet.
Aber die Verschlüsselung rückgängig zu machen, ist eine andere Geschichte. Laut Scaife kann gut konzipierte Ransomware unzerbrechlich sein.
„Die Zuverlässigkeit guter Kryptografie und der Aufstieg der Kryptowährung haben einen perfekten Sturm für Ransomware ausgelöst“, schreibt Scaife in einer E-Mail. „Wenn die Ransomware korrekt erstellt wurde und keine [Daten]-Backups vorhanden sind, besteht die einzige Möglichkeit, die Dateien des Opfers zurückzubekommen, darin, das Lösegeld zu zahlen.“
Das Hollywood Presbyterian Medical Center in Los Angeles hielt fast zwei Wochen durch, bevor es im Februar 2016 40 Bitcoins (ca und Aktualisierung von Aufzeichnungen mit Bleistift und Papier für 13 Tage.
Im März traf Ransomware Netzwerke in drei weiteren US-Krankenhäusern und einem in Ottawa, Ontario; und die Website eines anderen Krankenhauses in Ontario wurde gehackt , um seine Besucher mit der Malware zu infizieren.
Gezielte Angriffe
Krankenhäuser seien perfekte Opfer, sagte Sicherheitsexperte Jérôme Segura gegenüber CBC News . „Ihre Systeme sind veraltet, sie haben viele vertrauliche Informationen und Patientenakten. Wenn diese eingesperrt werden, können sie das nicht einfach ignorieren.“
Das gleiche mit der Strafverfolgung. Mindestens eine der fünf Polizeidienststellen von Maine, die 2015 von Ransomware betroffen waren, führte DOS aus, sagte der Chef gegenüber NBC .
Polizeidienststellen sind beliebte Ziele. Und obwohl die Ironie der Situation niemandem entgeht, zahlt die Polizei genauso wahrscheinlich wie jeder andere. Ein Polizeichef von New Hampshire, der es nicht ertragen konnte, hatte eine glänzende Idee: Er zahlte das Lösegeld , bekam den Schlüssel und stornierte die Zahlung; aber als seine Abteilung zwei Tage später erneut getroffen wurde, gab er einfach die 500 Dollar her.
Ein Schulbezirk in South Carolina zahlte im Februar 2016 8.500 US-Dollar . Die University of Calgary zahlte im Juni 16.000 US-Dollar und erklärte, sie könne mit der in ihren Netzwerken gespeicherten „Weltklasse-Forschung“ kein Risiko eingehen. Im November, wenige Wochen vor dem Light-Rail-Hack, zahlte ein Bezirk in Indiana 21.000 US-Dollar, um unter anderem den Zugang zu den Systemen seiner Polizei und Feuerwehr wiederherzustellen .
Berichte über den Angriff auf die Stadtbahn deuten auf einen ungewöhnlichen Ansatz hin. Es scheint, dass die Ransomware aus dem System heraus veröffentlicht wurde. Opacki sagt, der Hacker habe offenbar „eine bekannte Schwachstelle in der WebLogic-Software von Oracle ausgenutzt … Der Angreifer hat wahrscheinlich das Internet nach dieser Art von bekannter Schwachstelle durchsucht und ist zufällig auf das System von SFMTA gestoßen“.
Einmal drinnen, führte der Hacker die Ransomware ein.
„Aber die meisten Ransomware-Angriffe laufen nicht so ab“, schreibt Opacki. Normalerweise liegt die Schwachstelle in Menschen, nicht in Software.
„Es ist entmutigend“
„In der Regel“, bemerkt Opacki, „überschätzen die Leute ihre Fähigkeit, einen Phishing-Betrug zu erkennen.“
Tatsächlich ergab eine Studie aus dem Jahr 2016 , dass 30 Prozent der Menschen Phishing-E-Mails öffnen und 13 Prozent von ihnen dann auf den Anhang oder Link klicken.
„Viele Leute denken immer noch, dass Phishing-Angriffe schlecht gestaltete Spam-E-Mails sind, die voller Rechtschreibfehler und gebrochenem Englisch sind. Dann versuchen sie, eine Tabelle mit Gehaltsabrechnungen für Mitarbeiter zu öffnen, von der sie glauben, dass sie die Personalabteilung versehentlich geschickt hat“, schreibt Opacki.
Phishing hat einen langen Weg zurückgelegt, seit nigerianische Prinzen unsere Hilfe mit ihrem Geld brauchten. Viele E-Mails sind personalisiert und verwenden echte Details über potenzielle Opfer, die oft aus Social-Media-Beiträgen stammen.
Nach den Erfahrungen von Andrew Howard von Kudelski „werden in den sicherheitsbewusstesten Organisationen ... 3 bis 5 Prozent der Mitarbeiter selbst von den schlechtesten Phishing-Betrugsversuchen getäuscht. Die Zahlen bei weniger sicherheitsbewussten Organisationen oder mit raffinierteren Betrügereien sind viel schlimmer.“
„Es ist ziemlich entmutigend“, fügt er hinzu.
Doch die erstaunliche Zunahme von Ransomware-Angriffen in den letzten Jahren hat weniger mit Leichtgläubigkeit oder sogar großartigem Malware-Design zu tun als mit Leichtigkeit. Das Ausführen eines Ransomware-Betrugs ist ungefähr so komplex wie das Überfallen von jemandem auf der Straße, aber viel weniger riskant.
Hacken für Idioten
Laut Nolen Scaife ist bei Ransomware nicht viel Geschick gefragt. Die Software ist nicht so ausgefeilt. Hacker können es schnell erstellen und ohne großen Aufwand erfolgreich einsetzen.
Noch wichtiger ist jedoch, dass Hacker die Ransomware nicht erstellen müssen, um sie einzusetzen. Sie müssen nicht einmal wissen, wie man es erstellt.
Die meisten Leute, die Ransomware-Betrug ausführen, kauften die Software in der Unterwelt des Internets, die als Dark Web bekannt ist, wo Ransomware-Entwickler unzählige Varianten auf weitläufigen Malware-Marktplätzen verkaufen. Es handelt sich um All-in-One-Apps, die oft mit Kundenservice und technischem Support ausgestattet sind, damit Betrug reibungslos ablaufen kann.
„Support und Service“, schreibt Dan Turkel auf Business Insider, „sind besonders wichtig für Verkäufer, deren Markt aus relativ unerfahrenen Hackern besteht, die möglicherweise ein gewisses Maß an Handhaltung benötigen.“
Einige Produkte sind mit Geld-zurück-Garantien ausgestattet, schreibt Turkel. Viele bieten Anruf- oder E-Mail-Dienste an, die besiegte Opfer durch Zahlung und Entschlüsselung führen, sodass sich der Hacker nicht darum kümmern muss. Mindestens eine Ransomware-Familie bietet diesen „Kundendienst“ per Live-Chat an.
Der Ransomware-Markt ist so robust, dass Entwickler Distributoren beschäftigen , um ihre Produkte zu verkaufen.
Nichts davon verheißt Gutes für jemanden, der den Betrug nicht betreibt. Laut jedem Cybersicherheitsexperten auf der ganzen Welt sollten wir alle unsere Sachen sichern. Ohne Backups könnte die Zahlung des Lösegelds die einzige Wahl sein, wenn wir unsere Daten jemals wieder sehen wollen.
Und selbst dann werden wir möglicherweise immer noch nicht mit unseren Daten wiedervereinigt. Eine Studie von Trend Micro ergab , dass 20 Prozent der britischen Unternehmen, die 2016 Lösegeld gezahlt haben, nie einen Schlüssel erhalten haben.
Das Transitbüro von San Francisco zahlte nichts. Ein Sprecher sagte gegenüber Fortune, die Agentur habe dies nie in Betracht gezogen. Die Systeme wurden aus Backups wiederhergestellt, wobei die meisten innerhalb von zwei Tagen wieder online waren. In der Zwischenzeit fuhren San Franciscans kostenlos mit der Stadtbahn.
Zwei Tage später hackten Hacker das E-Mail-Konto des Stadtbahn-Hackers und enthüllten Ransomware-Zahlungen in Höhe von schätzungsweise 100.000 US-Dollar seit August.
Das ist bequem
Einige Ransomware-Hacker akzeptieren Amazon-Geschenkkarten.
