Doppelte Erpressung ist eine Taktik von Ransomware-Angreifern, bei der sie Daten nicht nur verschlüsseln, sondern auch mit deren Veröffentlichung drohen. Dieser Leitfaden erläutert, wie doppelte Erpressung funktioniert, welche Auswirkungen sie für die Opfer hat und welche Strategien zur Prävention es gibt.
Erfahren Sie mehr über die Bedeutung von Datensicherungen und der Planung von Maßnahmen zur Reaktion auf Vorfälle. Das Verständnis der doppelten Erpressung ist für Unternehmen von entscheidender Bedeutung, um ihre sensiblen Informationen zu schützen.
Doppelte Erpressung unterstreicht die zunehmende Raffinesse von Cyber-Bedrohungen und macht deutlich, dass ein ganzheitlicher Ansatz für Cybersicherheit erforderlich ist, der robuste Abwehrmaßnahmen gegen Ransomware, wachsame Datenschutz, und Strategien zur Reaktion auf Vorfälle.
Ein kurzer Überblick über doppelte Erpressung
Doppelte Erpressung ist eine ausgeklügelte Cyber-Bedrohungstaktik, die die Landschaft der Ransomware-Angriffe in den letzten Jahren verändert hat. Bei dieser böswilligen Strategie verschlüsseln Cyberkriminelle nicht nur die Daten des OpfersDaten verschlüsseln, sondern vor der Verschlüsselung auch sensible Informationen stehlen und diese effektiv als Geiseln nehmen. Wenn das Opfer sich weigert, das Lösegeld für die Entschlüsselung seiner Daten zu zahlen, drohen die Angreifer damit, die gestohlenen Informationen öffentlich zu veröffentlichen oder zu verkaufen, wodurch die Einsätze und Folgen des Angriffs noch größer werden.
Doppelte Erpressung tauchte erstmals um 2019 als auffälliger Trend in der Ransomware-Landschaft auf, mit dem Aufkommen bekannter Varianten wie Maze und REvil. Diese Cyberkriminellen erkannten den immensen Wert der Daten, die sie kompromittierten, und begannen, unter Androhung der Veröffentlichung dieser Daten zusätzliche Lösegeldzahlungen zu verlangen, in der Regel in Kryptowährung. Dieser innovative Ansatz erhöhte den finanziellen Druck auf die Opfer erheblich und machte es wahrscheinlicher, dass sie den Erpressungsforderungen nachkommen würden.
Heute sind doppelte Erpressungsangriffe alarmierend weit verbreitet. Cyberkriminelle nutzen sie, um eine Vielzahl von Organisationen anzugreifen, von kleinen Unternehmen über große Konzerne bis hin zu staatlichen Institutionen. Zu den gestohlenen Daten gehören oft sensible Kundeninformationen, geschützte geistige Eigentumsrechte und vertrauliche interne Dokumente, was die potenziellen Folgen einer Veröffentlichung noch schwerwiegender macht.
Um sich gegen doppelte Erpressungsangriffe zu schützen, müssen Organisationen eine umfassende Cybersicherheitsstrategie verfolgen, die eine robuste Erkennung und Prävention von Bedrohungen, regelmäßige Datensicherungen, Schulungen für Mitarbeiter zum Erkennen von Phishing-Versuchen sowie einen klar definierten Plan für die Reaktion auf Vorfälle (Incident Response Plan, IRP).
So funktioniert doppelte Erpressung
Doppelte Erpressung ist eine komplexe und heimtückische Cyberangriffstechnik, die Datendiebstahl mit traditionellen Ransomware-Taktiken kombiniert. Aus technischer Sicht umfasst der Prozess mehrere verschiedene Phasen:
Erster Zugriff und Aufklärung
Angreifer nutzen verschiedene Methoden wie Phishing-E-Mails, Ausnutzung von Software-Schwachstellen oder Diebstahl von Anmeldedaten , um sich ersten Zugang zum Netzwerk des Opfers zu verschaffen. Sobald sie sich im Netzwerk befinden, führen sie eine Erkundung durch, um hochwertige Ziele zu identifizieren und sensible Datenspeicher zu lokalisieren.
Techniken zur Datenexfiltration
Angreifer verwenden fortschrittliche Techniken wie SQL-Injection, Remote File Inclusion oder den Missbrauch legitimer Tools, um sensible Daten aus dem Netzwerk des Opfers zu exfiltrieren. Sie können Datenkomprimierung, Verschlüsselung oder Verschleierung einsetzen, um einer Entdeckung zu entgehen.
Datenklassifizierung und -extraktion
Mithilfe automatisierter Skripte oder manueller Prozesse klassifizieren und extrahieren Angreifer sensible Informationen. Zu diesen Daten können personenbezogene Daten (PII), Finanzunterlagen, geistiges Eigentum oder vertrauliche Dokumente umfassen. Angreifer können Datenanalyse- und Indizierungstechniken einsetzen, um wertvolle Daten effizient zu lokalisieren.
Datenbereitstellung und Tarnung
Die exfiltrierten Daten werden in versteckten oder weniger überwachten Bereichen des Netzwerks zwischengespeichert, um eine Entdeckung zu vermeiden. Angreifer können Verschlüsselung oder Steganografie einsetzen, um die Existenz der gestohlenen Daten zu verschleiern und unauffällig zu bleiben.
Datenverschlüsselung mit starken Algorithmen
Nach der Exfiltration starten die Angreifer die Ransomware-Komponente. Sie verwenden robuste Verschlüsselungsalgorithmen wie AES-256, um wichtige Dateien und Systeme im Netzwerk des Opfers zu verschlüsseln. Diese Verschlüsselung ist in der Regel asymmetrisch, mit einem öffentlichen Schlüssel für die Verschlüsselung und einem privaten Schlüssel, der vom Angreifer für die Entschlüsselung verwendet wird.
Lösegeldforderung und Forderung nach Kryptowährung
Die Angreifer senden eine Lösegeldforderung, oft in Form einer Textdatei oder eines Bildes, an die Systeme des Opfers. Diese Nachricht enthält Details zur Lösegeldforderung, Zahlungsanweisungen und eine Frist. Um anonym zu bleiben, verlangen Angreifer in der Regel die Zahlung in Kryptowährungen wie Bitcoin oder Monero.
Doppelte Erpressungsbenachrichtigung
Bei einer doppelten Erpressung informieren die Angreifer das Opfer zusätzlich zur herkömmlichen Lösegeldforderung darüber, dass sie sensible Daten exfiltriert haben. In dieser Benachrichtigung werden die Folgen einer Nichtbefolgung hervorgehoben. Angreifer können Beweise für den Datendiebstahl vorlegen, z. B. Dateilisten oder Ausschnitte, um ihre Behauptungen zu untermauern.
Drohungen mit Datenveröffentlichung
Die Angreifer drohen, die gestohlenen Daten im Internet oder in Untergrundforen zu veröffentlichen, wenn das Lösegeld nicht innerhalb der festgelegten Frist gezahlt wird. Diese Drohung erhöht den Druck auf das Opfer, die Lösegeldforderungen zu erfüllen, da die Offenlegung der Daten zu rechtlichen Konsequenzen, Bußgeldern und Reputationsschäden führen kann.
Zahlungsüberprüfung und Kommunikation
Um die Nachverfolgung der Zahlung und die Entschlüsselung zu erleichtern, geben die Angreifer dem Opfer eine eindeutige Bitcoin-Wallet-Adresse an, an die es das Lösegeld senden soll. Nach Erhalt der Zahlung überprüfen sie diese in der Blockchain und kommunizieren mit dem Opfer über verschlüsselte Kanäle.
Lieferung des Entschlüsselungscodes
Nach erfolgreicher Zahlungsüberprüfung liefern die Angreifer dem Opfer den Entschlüsselungscode. Dieser Schlüssel ist erforderlich, um die Dateien und Systeme zu entschlüsseln, die während der Ransomware-Phase verschlüsselt wurden. Die Angreifer stellen möglicherweise Entschlüsselungstools oder Anweisungen zur Verwendung des Schlüssels zur Verfügung.
Bereinigung nach dem Angriff
Nach Erhalt des Lösegelds entfernen die Angreifer möglicherweise ihre Präsenz aus dem Netzwerk des Opfers und löschen alle Tools, Hintertüren oder Spuren des Angriffs. Es gibt jedoch keine Garantie dafür, dass sie nicht für weitere Erpressungen oder Angriffe zurückkehren.
Reaktion und Schadensbegrenzung
Unternehmen, die mit einer doppelten Erpressung konfrontiert sind, müssen wichtige Entscheidungen darüber treffen, ob sie das Lösegeld zahlen oder nach Alternativen suchen. Außerdem müssen sie den Vorfall den Strafverfolgungsbehörden melden und Maßnahmen zur Reaktion auf den Vorfall einleiten, darunter die Wiederherstellung des Systems und die Verstärkung der Sicherheitsmaßnahmen, um künftige Angriffe zu verhindern.
Verbessern Sie Ihre Threat Intelligence
Erfahren Sie, wie der SentinelOne-Service WatchTower zur Bedrohungssuche mehr Erkenntnisse liefert und Ihnen hilft, Angriffe abzuwehren.
Mehr erfahrenAnwendungsfälle von doppelter Erpressung
Doppelte Erpressungsangriffe sind zu einer bedrohlichen Gefahr in der Cybersicherheit geworden und veranlassen Unternehmen dazu, ihre Abwehrmaßnahmen zu verstärken, um die mit dieser heimtückischen Taktik verbundenen Risiken zu mindern. Hier sind einige reale Anwendungsfälle von doppelter Erpressung, ihre Bedeutung und die Maßnahmen, die Unternehmen ergreifen, um sich gegen diese Risiken zu schützen:
Der Maze-Ransomware-Angriff
Maze Ransomware-Betreiber waren Pioniere der Doppel-Erpressungstechnik. Sie nahmen Unternehmen ins Visier, verschlüsselten deren Daten und drohten dann, sensible Informationen online zu veröffentlichen, wenn kein Lösegeld gezahlt würde.
- Bedeutung – Dieser Angriff erregte große Aufmerksamkeit und machte die doppelte Erpressung bekannt, wodurch die möglichen Folgen einer Nichtbefolgung deutlich wurden.
- Sicherheitsmaßnahmen – Seitdem haben Unternehmen ihren Fokus verstärkt auf Cybersicherheit gelegt, umfassende Backup-Strategien eingeführt, überwachen Datenlecks und verbessern ihre Fähigkeiten zur Reaktion auf Vorfälle, um Maze-ähnlichen Bedrohungen entgegenzuwirken.
Die REvil-Ransomware-Gruppe
REvil ist bekannt für ihre aggressiven Doppel-Erpressungstaktiken. In einem Fall griffen sie eine renommierte Anwaltskanzlei an, stahlen sensible Kundendaten und drohten mit deren Veröffentlichung.
- Bedeutung – Dieser Angriff hat gezeigt, dass selbst Branchen, die normalerweise nicht mit hohen Cybersicherheitsrisiken in Verbindung gebracht werden, wie z. B. Rechtsdienstleistungen, anfällig für doppelte Erpressung sind. Er hat die Notwendigkeit umfassender Cybersicherheitsmaßnahmen in allen Branchen unterstrichen.
- Sicherheitsmaßnahmen – Anwaltskanzleien und ähnliche Unternehmen investieren zunehmend in Schulungen zur Sensibilisierung ihrer Mitarbeiter für Cybersicherheit, führen Multi-Faktor-Authentifizierung (MFA) ein und verbessern die Endpunktsicherheit , um sich vor Angriffen im Stil von REvil zu schützen.
Die Ragnar Locker Ransomware-Kampagne
Ragnar Locker zielte auf große Organisationen ab, insbesondere im Gesundheitswesen. Sie verschlüsselte Dateien, stahl Patientendaten und forderte ein hohes Lösegeld.
- Bedeutung – Die Gesundheitsbranche stand aufgrund der COVID-19-Pandemie bereits unter Druck, und diese Angriffe belasteten die Ressourcen zusätzlich und weckten Bedenken hinsichtlich der Privatsphäre der Patienten und der Sicherheit kritischer Gesundheitsinfrastrukturen.
- Sicherheitsmaßnahmen – Gesundheitsorganisationen haben ihre Cybersicherheit durch eine verbesserte Netzwerksegmentierung, die Implementierung robuster Zugriffskontrollen und die Durchführung regelmäßiger Cybersicherheitsbewertungen verstärkt, um doppelte Erpressungsversuche zu vereiteln.
Der DarkTequila-Angriff
DarkTequila war ein Banking-Trojaner, der um Ransomware- und Datendiebstahlkomponenten erweitert wurde. Die Angreifer nahmen Finanzinstitute und Unternehmensnetzwerke ins Visier, verschlüsselten Dateien und entwendeten sensible Daten.
- Bedeutung – Dieser Angriff zeigte die Anpassungsfähigkeit von Cyberkriminellen, die ihre Taktiken im Laufe der Zeit weiterentwickeln. Insbesondere Finanzinstitute mussten sich mit der wachsenden Bedrohung durch doppelte Erpressung auseinandersetzen.
- Sicherheitsmaßnahmen – Finanzinstitute implementieren Plattformen zum Austausch von Bedrohungsinformationen ein, verbessern ihre Schulungsprogramme für Mitarbeiter und führen Tabletop-Übungen durch, um sich auf potenzielle doppelte Erpressungsangriffe vorzubereiten.
Cl0p-Ransomware-Gruppe
Die Cl0p hat verschiedene Organisationen, darunter auch Universitäten, ins Visier genommen. Sie verschlüsselte Dateien und drohte, sensible akademische Forschungsdaten online zu veröffentlichen.
- Bedeutung – Angriffe auf Bildungseinrichtungen verdeutlichen das breite Spektrum der Ziele von doppelter Erpressung. In diesem Fall war der potenzielle Verlust wertvoller Forschungsdaten ein großes Problem.
- Sicherheitsmaßnahmen – Universitäten und Forschungseinrichtungen verstärken ihre Cybersicherheitsmaßnahmen durch verbesserte E-Mail-Filterung, Datenverschlüsselung und Notfallplanung, um ihr geistiges Eigentum vor Angriffen wie denen von Cl0p zu schützen.
Um sich gegen die Risiken einer doppelten Erpressung zu schützen, ergreifen Unternehmen mehrere proaktive Maßnahmen:
- Umfassende Backup-Strategien – Regelmäßige Datensicherungen, die vom Netzwerk isoliert sind, sind von entscheidender Bedeutung. Sie stellen sicher, dass Unternehmen ihre Daten wiederherstellen können, ohne Lösegeld zahlen zu müssen.
- Mitarbeiterschulungen – Schulungen zum Thema Cybersicherheit helfen Mitarbeitern, Phishing-Versuche und andere Social-Engineering-Taktiken zu erkennen, die bei doppelten Erpressungsangriffen zum Einsatz kommen.
- Endpunktsicherheit – Robuste Endpunkt-Sicherheitslösungen sind für die Erkennung und Verhinderung von Malware-Infektionen unerlässlich.
- Zugriffskontrollen – Die Umsetzung des Prinzips der geringsten Privilegien (PoLP) stellt sicher, dass Benutzer nur über die für ihre Rolle erforderlichen Mindestzugriffsrechte verfügen.
- Pläne zur Reaktion auf Vorfälle – Mit klar definierten Plänen zur Reaktion auf Vorfälle können Unternehmen effektiv auf doppelte Erpressungsangriffe reagieren und deren Auswirkungen minimieren.
- Austausch von Bedrohungsinformationen – Die Zusammenarbeit mit Branchenkollegen und der Austausch von Bedrohungsinformationen können Unternehmen dabei helfen, über neue Bedrohungen und Angriffstechniken auf dem Laufenden zu bleiben.
Fazit
Doppelte Erpressungsangriffe, bei denen Cyberkriminelle nicht nur Daten verschlüsseln, sondern auch damit drohen, sensible Informationen zu veröffentlichen, wenn kein Lösegeld gezahlt wird, haben die Risiken in der aktuellen Bedrohungslandschaft erhöht. Diese Angriffe nutzen die Angst vor Datenlecks und Rufschädigung aus und zwingen viele dazu, Lösegeld zu zahlen, selbst wenn sie über Backups verfügen.
Anwendungsfälle von doppelter Erpressung aus der Praxis unterstreichen die entscheidende Bedeutung der Cybersicherheit für Unternehmen aller Branchen. Da Angreifer ihre Taktiken ständig verfeinern, müssen Unternehmen wachsam bleiben, ihre Sicherheitsmaßnahmen anpassen und eine proaktive Haltung einnehmen, um ihre Daten, ihren Ruf und ihren Gewinn zu schützen.
"Häufig gestellte Fragen zu doppelter Erpressung
Bei Ransomware mit doppelter Erpressung verschlüsseln Angreifer Ihre Daten und stehlen vor der Verschlüsselung Kopien davon. Sie drohen damit, Ihre sensiblen Daten öffentlich zu machen, wenn Sie das Lösegeld nicht zahlen. Dies verschafft ihnen zusätzlichen Einfluss, denn selbst wenn Sie Backups haben, um verschlüsselte Dateien wiederherzustellen, können sie Ihre gestohlenen Daten dennoch veröffentlichen. Das ist viel gefährlicher als herkömmliche Ransomware-Angriffe.
Zunächst verschaffen sich die Angreifer über Phishing-E-Mails oder Schwachstellen Zugang zu Ihrem Netzwerk. Sie durchsuchen Ihre Systeme nach wertvollen Daten. Bevor sie irgendetwas verschlüsseln, kopieren sie sensible Dateien auf ihre eigenen Server.
Anschließend setzen sie Ransomware ein, um Ihre Dateien zu verschlüsseln, und hinterlassen eine Lösegeldforderung. Wenn Sie nicht zahlen, veröffentlichen sie Ihre gestohlenen Daten im Dark Web.
Der Angriff verläuft in sieben Hauptphasen. Phase eins ist die Identifizierung und Erkundung des Opfers. Phase zwei ist der Zugriff auf Ihre Infrastruktur über RDP oder Phishing. Phase drei umfasst die Einrichtung von Fernzugriffstools wie CobaltStrike.
Phase vier ist das Scannen des Netzwerks, um Ihre Systeme zu kartieren. Phase fünf ist die laterale Bewegung durch Ihr Netzwerk. Phase sechs ist die Datenexfiltration und Phase sieben ist die Verschlüsselung und die Forderung von Lösegeld.
Nein, Backups allein können nicht vor doppelten Erpressungsangriffen schützen. Backups helfen Ihnen zwar bei der Wiederherstellung verschlüsselter Dateien, schützen Sie jedoch nicht vor Datendiebstahl. Angreifer haben sich darauf eingestellt, Backup-Strategien zu umgehen, indem sie zuerst Daten stehlen.
Sie benötigen einen mehrschichtigen Sicherheitsansatz. Verwenden Sie Firewalls, E-Mail-Sicherheit und Endpunkt-Erkennungstools, um den ersten Zugriff zu verhindern. Implementieren Sie Netzwerksegmentierung, um die Bewegungsfreiheit von Angreifern einzuschränken. Setzen Sie Tools zum Schutz vor Datenexfiltration ein, die den ausgehenden Datenverkehr überwachen. Schulen Sie Ihre Mitarbeiter darin, Phishing-Versuche zu erkennen.
Verwenden Sie Multi-Faktor-Authentifizierung und Zugriffskontrollen. Regelmäßige Sicherheitsaudits und Schwachstellenanalysen sind ebenfalls von entscheidender Bedeutung. Überwachen Sie den Netzwerkverkehr kontinuierlich auf verdächtige Aktivitäten.
Das Gesundheitswesen, die Fertigungsindustrie und Finanzdienstleister sind die Hauptziele. Angreifer nehmen Organisationen mit wertvollen Daten wie Krankenhäuser ins Visier, da diese eine geringe Toleranz für Ausfallzeiten haben. Sie stehlen personenbezogene Daten, Krankenakten, Sozialversicherungsnummern und Finanzdaten.
Kundendatenbanken, proprietärer Quellcode und interne Kommunikation sind ebenfalls Ziele. Angreifer bevorzugen Organisationen, die sich hohe Lösegeldzahlungen leisten können.
Verwenden Sie Datenverschlüsselung, um sensible Informationen auch im Falle eines Diebstahls zu schützen. Implementieren Sie Tools zur Verhinderung von Datenverlusten, um unbefugte Übertragungen zu erkennen. Setzen Sie Lösungen zur Erkennung und Reaktion auf Endpunkten ein. Erstellen Sie Pläne zur schnellen Eindämmung von Vorfällen. Verwenden Sie Netzwerksegmentierung, um Schäden zu begrenzen.
Regelmäßige Backup-Tests und eine sichere externe Speicherung sind unerlässlich. Überwachen Sie kontinuierlich auf Anzeichen für Kompromittierungen. Zahlen Sie kein Lösegeld – es gibt keine Garantie dafür, dass die Angreifer ihr Wort halten.
