Kirk Ransomware (eBook)

Untersuchung der Auswirkungen von Ransomware auf die Privatsphäre im Kryptowährungs-Ökosystem

Fouad Sabry (Autor)

eBook Download: EPUB

2025 | 1. Auflage
207 Seiten
Eine Milliarde Sachkundig [German] (Verlag)
978-0-00-092497-1 (ISBN)

Infos

In der sich rasant entwickelnden digitalen Landschaft ist es unerlässlich, die Rolle von Kryptowährungen in der Cybersicherheit zu verstehen. 'Kirk Ransomware' bietet eine umfassende Erkundung der Welt von Ransomware und Cyberkriminalität mit Schwerpunkt auf der Schnittstelle zur Kryptowährung Monero. Ob Sie Experte für Cybersicherheit, Student oder Doktorand sind oder sich einfach nur für die Cyberkriminalität interessieren - dieses Buch bietet Ihnen wertvolle Einblicke in die wachsende Bedrohung durch Ransomware und die Verflechtung der Datenschutzfunktionen von Monero mit Cyberkriminalität. Tauchen Sie tief in die Methoden, Akteure und Tools hinter einigen der berüchtigtsten Cyberbedrohungen ein - von Ransomware bis hin zu hochentwickelten Hackergruppen.

Kirk Ransomware-Enthüllen Sie die Methoden hinter Kirk Ransomware und ihre erheblichen Auswirkungen auf Nutzer weltweit.

Jigsaw (Ransomware)-Entdecken Sie die beunruhigenden Eigenschaften der Jigsaw-Ransomware und ihre raffinierten Erpressungstaktiken.

Ransomware-Entdecken Sie die Ursprünge und die Entwicklung von Ransomware als Werkzeug für Cyberkriminelle und erhalten Sie Einblicke in ihre Verbindung zu Monero.

Akira (Ransomware)-Erfahren Sie, wie Akira Ransomware Opfer angreift, Dateien verschlüsselt und Zahlungen mit Monero verlangt.

KeRanger-Erfahren Sie mehr über KeRanger, die erste Mac-angreifende Ransomware, und ihre Nutzung von Monero für Finanztransaktionen.

HitlerRansomware-Tauchen Sie ein in die verstörenden Taktiken von HitlerRansomware und ihren aggressiven Einsatz von Monero zur Wahrung der Anonymität.

BlackCat (Cyber-Gang)-Untersuchen Sie die Aktivitäten von BlackCat, einer Cyber-Gang, die Ransomware und Monero für illegale Gewinne nutzt.

Kryptovirologie-Studieren Sie das Gebiet der Kryptovirologie, wo Malware zur Datenverschlüsselung eingesetzt wird und wie Monero bei Lösegeldzahlungen hilft.

Monero-Erfahren Sie mehr über Monero, seine Datenschutzfunktionen und warum es die bevorzugte Kryptowährung für Cyberkriminelle ist.

TeslaCrypt-Analysieren Sie die Taktiken von TeslaCrypt und wie es Opfer dazu zwingt, Lösegeld in Monero zu zahlen, um ihre Dateien freizuschalten.

CryptoLocker-Analysieren Sie die Auswirkungen von CryptoLocker und seine Rolle bei bahnbrechenden Ransomware-Angriffen, die Zahlungen in Monero forderten.

DarkSide (Hackergruppe)-Erfahren Sie mehr über die berüchtigte DarkSide-Hackergruppe, ihre Angriffe und die Rolle von Monero in ihren Lösegeldplänen.

WannaCry-Ransomware-Angriff-Verstehen Sie den WannaCry-Angriff, einen der größten globalen Ransomware-Vorfälle, und seine Verbindung zu Monero.

Zealot-Kampagne-Untersuchen Sie die Zealot-Kampagne und ihren raffinierten Einsatz von Ransomware in Verbindung mit Monero.

Linux.Encoder-Erfahren Sie mehr über Linux.Encoder, eine Ransomware-Variante, die auf Linux-Systeme abzielt und Monero für anonyme Zahlungen nutzt.

Clop (Cyber-Gang)-Untersuchen Sie Clop, eine Cyber-Gang, die Monero als bevorzugte Zahlungsmethode für ihre Ransomware-Angriffe nutzt.

Rensenware-Verstehen Sie die Funktionsweise von Rensenware, einer Ransomware-Variante, die ebenfalls Monero für Lösegeldforderungen nutzt.

Lazarus Group-Untersuchen Sie die Lazarus Group, eine nordkoreanische Cybercrime-Organisation, die Monero für ihre Angriffe nutzt.

TorrentLocker-Entdecken Sie die Taktiken von TorrentLocker, Ransomware zu verbreiten und Monero-Zahlungen für die Freigabe verschlüsselter Dateien zu fordern.

Bitdefender-Erfahren Sie, wie das Cybersicherheitsunternehmen Bitdefender Ransomware-Angriffe bekämpft und die Rolle von Monero analysiert.

Locky-Decken Sie die Vorgänge hinter der Ransomware Locky auf, die bekanntermaßen Monero für Lösegeldzahlungen nutzte.

Textauszug

Kapitel 7 :BlackCat (Cyber-Gang)

Rust ist die Programmiersprache, die zur Erstellung der BlackCat-Ransomware-Familie verwendet wird, die auch als ALPHV und Noberus bekannt ist. Im November 2021 debütierte dieses Phänomen. Es ist auch der Name des Bedrohungsakteurs oder der Akteure, die ihn ausgenutzt haben, was eine logische Erweiterung davon ist.

Ransomware as a Service (RaaS) ist das Geschäftsmodell, das BlackCat verwendet. Das bedeutet, dass die Macher von BlackCat die Malware für Affiliates zur Nutzung zur Verfügung stellen und dann einen Teil der Lösegeldzahlungen erhalten. Die Ransomware stützt sich in erster Linie auf gestohlene Anmeldeinformationen, die über Initial Access Broker erhalten werden, um den ersten Zugriff zu erhalten. Um Druck auf die Opfer auszuüben und sie zur Zahlung von Lösegeldforderungen zu bewegen, startete die Organisation eine öffentliche Website für Datenlecks.

Die Organisation richtete sich an Hunderte von Organisationen auf der ganzen Welt, darunter Reddit im Jahr 2023 und Change Healthcare im Jahr 2024. Seit ihrer ursprünglichen Entdeckung ist sie eine der aktivsten Ransomware-Operationen, die es gibt.

Ab Februar 2024 setzte das US-Außenministerium eine Belohnung von bis zu zehn Millionen US-Dollar für Informationen aus, mit denen die Anführer der ALPHV/BlackCat-Ransomware-Bande identifiziert oder lokalisiert werden können.

Nach dem Ransomware-Angriff auf Change Healthcare im Jahr 2024 sagte ein Sprecher von BlackCat im März 2024, dass das Unternehmen seinen Betrieb einstellen werde. Zu Beginn des Jahres 2025 schien es verschwunden zu sein.

Triple Extortion, d. h. die Offenlegung exfiltrierter Daten und die Androhung von DDoS-Angriffen (Distributed Denial-of-Service) auf die Infrastruktur der Opfer, wird manchmal von der Bande eingesetzt, die für BlackCat verantwortlich ist. Doppelte Erpressung ist die häufigste Art der Erpressung, die BlackCat einsetzt.

Bedrohungsakteure, die mit BlackCat in Verbindung stehen, verlangen oft Lösegeldzahlungen im Wert von mehreren Millionen Dollar in Bitcoin und Monero. Es ist bekannt, dass diese Bedrohungsakteure Lösegeldzahlungen akzeptieren, die niedriger sind als die ursprünglich für das Lösegeld geforderte Summe. Eine beträchtliche Anzahl der Schöpfer und Geldwäscher für BlackCat/ALPHV ist mit DarkSide/Blackmatter verbunden, wie das Federal Bureau of Investigation (FBI) mitteilte. Dies deutet darauf hin, dass diese Personen über ein breites Netzwerk und frühere Erfahrungen mit Ransomware-Operationen verfügen.

Diese spezielle Organisation ist dafür bekannt, die erste Ransomware zu sein, die eine Website eingerichtet hat, die für die breite Öffentlichkeit im offenen Internet zugänglich ist. Das Dark Web war oft der Ort, an dem frühere Cyberbanden die gestohlenen Daten offenlegten, die sie erhalten hatten. Die innovative Maßnahme von BlackCat bestand darin, Auszüge oder Stichproben von Opferdaten auf einer Website zu veröffentlichen, die für jeden zugänglich war, der über einen Webbrowser verfügte. Experten auf dem Gebiet der Informationssicherheit sind der Ansicht, dass die Strategie darauf abzielt, die Glaubwürdigkeit ihrer Behauptungen, dass sie in die Systeme der Opfer eingedrungen sind, zu stärken und den Druck auf Unternehmen zu erhöhen, Lösegeld zu zahlen, um die vollständige Offenlegung ihrer Daten zu verhindern. Darüber hinaus imitiert die Organisation die Websites ihrer Opfer, um gestohlene Informationen auf Kopien zu veröffentlichen, die typografisch im Internet besetzt wurden.

Das als "BlackCat" bekannte Verschlüsselungstool wurde von Royal Ransomware von Anfang an von ihren Angriffen verwendet.

Mitte November 2021 machten Forscher des MalwareHunterTeams die erste Entdeckung der bösartigen Software.

Im April 2022 hatte das Federal Bureau of Investigation (FBI) eine Mitteilung herausgegeben, in der es hieß, dass einige Entwickler und Geldwäscher für BlackCat Verbindungen zu zwei Ransomware-as-a-Service (RaaS)-Unternehmen hatten, die inzwischen eingestellt wurden: DarkSide und BlackMatter. Eine Reihe von Spezialisten vermutet, dass es sich bei der Ransomware um ein Rebranding von DarkSide handeln könnte, das für den Angriff auf die Colonial Pipeline im Mai 2021 verantwortlich war. Die cyberkriminelle Gruppe REvil, die in der zweiten Hälfte des Jahres 2021 aufgelöst wurde, könnte möglicherweise ein potenzieller Nachfolger dieser Organisation sein.

Im Laufe des Jahres 2022 war BlackCat für die Kompromittierung und Erpressung einer großen Anzahl namhafter Organisationen auf der ganzen Welt verantwortlich. Zu diesen Organisationen gehörten Hochschulen, Regierungsbehörden und Unternehmen, die in den Bereichen Energie, Technologie, Fertigung und Transport tätig sind. Zu den Unternehmen, die als Opfer gemeldet wurden, gehören Moncler, Swissport, North Carolina A&T, Florida International University, das Bundesland Kärnten in Österreich, Regina Public Schools, die Stadt Alexandria, die Universität Pisa, Bandai Namco, Creos, Accelya, GSE, NJVC, EPM und JAKKS Pacific.

In einer Studie, die im September 2022 veröffentlicht wurde, wurde festgestellt, dass das Emotet-Botnet die Quelle der Ransomware ist.

Ende Mai 2022 wurde eine europäische Regierung angegriffen, und der Angreifer forderte ein Lösegeld von fünf Millionen Dollar.

Eine Reihe von Organisationen, darunter Grupo Estrategas EMM, NextGen Healthcare, Solar Industries India, Instituto Federal Do Pará, Munster Technological University und Lehigh Valley Health Network, wurden Anfang des Jahres 2023 von Blackcat ins Visier genommen.

Eine Variante namens "Sphynx" wurde im Februar 2023 zur Verfügung gestellt und enthielt Verbesserungen, die sowohl die Geschwindigkeit als auch die Tarnung verbesserten. Es wird geschätzt, dass die Bande bei ihrem ersten Auftauchen im Mai des Jahres 2023 mehr als 350 Opfer auf der ganzen Welt ins Visier genommen hat.

Im Juni 2023 behauptete die Organisation, dass sie für einen Verstoß in die Systeme von Reddit verantwortlich sei, der sich im Februar 2023 ereignete. Sie behaupteten, dass sie 80 Gigabyte komprimiertes Material gestohlen hätten, und forderten auf ihrer Website, die sich mit Datenlecks befasste, ein Lösegeld von 4,5 Millionen US-Dollar von Reddit. Im Gegensatz zu den meisten Ransomware-Angriffen ging es bei diesem Angriff nicht um die eigentliche Verschlüsselung der Daten.

Am 19. Dezember 2023 wurde die Website der Organisation durch ein Bild ersetzt. Bei dem Bild handelte es sich um eine Mitteilung des Federal Bureau of Investigation (FBI), in der es hieß: "Das Federal Bureau of Investigation hat diese Website im Rahmen einer koordinierten Strafverfolgungsmaßnahme gegen Alphv Blackcat Ransomware beschlagnahmt."

Am selben Tag gab das Federal Bureau of Investigation (FBI) bekannt, dass es die ALPHV/BlackCat-Bande "zerschlagen" habe, indem es verschiedene Websites beschlagnahmt und ein Entschlüsselungstool bereitgestellt habe. Es ist möglich, dass Opfer von Ransomware das Tool verwenden, um ihre Dateien zu entschlüsseln, ohne das geforderte Lösegeld zahlen zu müssen.

Ab Februar 2024 hat das US-Außenministerium Belohnungen von bis zu zehn Millionen Dollar für Hinweise ausgesetzt, mit denen die Anführer der ALPHV/Blackcat-Ransomware-Bande identifiziert oder lokalisiert werden könnten. Darüber hinaus bieten sie eine Belohnung von fünf Millionen Dollar für Informationen an, die sie zu Personen führen, die an ALPHV-Ransomware-Angriffen beteiligt sind.

Der Hong Kong Consumer Council war Gegenstand eines "Ransomware-Angriffs auf seine Server und Endgeräte", wie aus einem Bericht hervorgeht, der im Mai 2024 von The Standard (Hongkong) veröffentlicht wurde. In dem Bericht heißt es auch, dass ALPHV die Organisation war, die den gezielten Angriff durchgeführt hat.

Es wurde beobachtet, dass sogenannte "Bedrohungsakteure", die mit BlackCat in Verbindung gebracht werden, "Malvertising" verwenden, eine "SEO-Poisoning"-Technik, bei der Werbung verwendet wird, um Benutzer, die nach Anwendungen wie WinSCP suchen, dazu zu verleiten, ihre Malware herunterzuladen und zu verbreiten. Wie Ravie Lakshmanan in einem Artikel für The Hacker News betonte, besteht der Ansatz in der Regel darin, eine ausgewählte Reihe von Schlüsselwörtern (z. B. "WinSCP Download") zu kapern, um gefälschte Anzeigen auf Bing- und Google-Suchergebnisseiten anzuzeigen, mit der Absicht, Nutzer, die sich der Gefahr nicht bewusst sind, auf fragwürdige Websites umzuleiten. Mit anderen Worten, bei der Technik werden gekaperte Webseiten legitimer Organisationen verwendet, um Benutzer auf Seiten umzuleiten, auf denen Malware gehostet wird.

Eine Backdoor, die Codierung enthält und als "Cobalt Strike Beacon" bezeichnet wird, wird dann durch den bösartigen WinSCP-Installer verteilt. Diese Hintertür ermöglicht es den Hackern, nachfolgende Eindringlinge durchzuführen. Der Zugriff, der vom Beacon gewährt wird, ermöglicht es dem Beacon, Aufklärung, Datenexfiltration und Sicherheitsmanipulation durchzuführen sowie sich seitlich zu bewegen. Darüber hinaus erhielten die Bedrohungsakteure administrativen Zugriff, so dass sie damit begannen, Hintertüren zu installieren, kurz bevor der Angriff identifiziert wurde. Um der Erkennung zu entgehen, verwendet die Ransomware Strategien wie Müllcode und verschlüsselte Zeichenfolgen.

Auf einer genaueren Ebene nutzt die kriminelle Organisation die Botnet-Malware Emotet als Einstiegspunkt, und Log4J Auto Expl wird verwendet, um die Ransomware...

Produkt-Details

• Erscheint lt. Verlag: 23.6.2025
• Übersetzer: Daniel Hueber
• Sprache: deutsch
• Themenwelt: Sachbuch/Ratgeber ► Beruf / Finanzen / Recht / Wirtschaft ► Geld / Bank / Börse
• ISBN-10: 0-00-092497-0 / 0000924970
• ISBN-13: 978-0-00-092497-1 / 9780000924971