So ticken Cyberkriminelle So funktioniert der Cybercrime-Untergrund

Anbieter zum Thema

TREND MICRO Deutschland GmbH

WatchGuard Technologies GmbH

mibeca GmbH – Mike Bergmann Akademie

Der Cyber-Untergrund ist für viele Unternehmen eine undurchdringliche Blackbox. Aber nur wer seinen Gegner kennt, kann ihn auch bekämpfen. Sicherheitsforscher von Trend Micro bieten deshalb einen exklusiven Einblick in das Treiben der Akteure hinter Ransomware und Co.

Egal ob grassierende Ransomware oder KI-generierte intelligente Viren – in der IT-Welt von heute geht ein Schreckgespenst nach dem anderen um. Doch obwohl mittlerweile das technische Vorgehen und ausnutzbare Schwachstellen den Unternehmen größtenteils bekannt sind, fehlt oftmals der sprichwörtliche „Blick hinter den Vorhang“. Dieser Blick schließt vor allem auch die menschliche Perspektive ein. Denn eines sollte bei all den technischen Debatten, die die Cybersecurity-Branche dominieren, nicht vergessen werden: Hinter ominösen Gruppen wie Conti, Lazarus und REvil stehen letztlich immer noch Menschen und ihre allzu menschlichen Motive.

Natürlich hat dabei das weitverbreitete Bild des Einzelgänger-Hackers, der mit Sturmhaube in einem abgedunkelten Zimmer sitzt, nichts mit der Realität zu tun. So posiert etwa der vom FBI gesuchte Maksim Yakubets, führendes Mitglied der Jabber Zeus Crew und der Evil-Corp-Gruppe, in der Öffentlichkeit gerne mal mit seinem Lamborghini. Obwohl auf ihn, einen Mann, der mutmaßlich an die 100 Millionen Dollar von Banken, Unternehmen und Wohlfahrtsorganisationen gestohlen hat, ein Kopfgeld in Millionenhöhe ausgesetzt ist. Auf dem Nummernschild seines Sportwagens prangt das russische Wort für „Dieb“. Zwar hat lange nicht jeder Cyberkriminelle gute Kontakte zur russischen High-Society und kann sich dementsprechend ungeniert in der Öffentlichkeit zeigen. Doch unabhängig davon, ob es sich um Kriminelle mit Hang zum schnellen Geld, „Hacktivisten“ aus Überzeugung oder staatliche Akteure im Cyberkrieg handelt, Cyberkriminelle sind gut vernetzt, technisch ausgebildet und affin für neue mächtige Werkzeuge wie KI und Machine Learning.

Wer dabei wissen will, wie sich die Cyberbedrohungslage in Zukunft entwickeln wird, muss im ersten Schritt nachvollziehen, wie die derzeitige Situation entstanden ist. Mit den Weltbildern und Motiven der Cyberkriminellen verschieben sich immerhin auch deren Absichten, Ziele und Methoden. Zu diesem Zweck hat Trend Micro einen Querschnitt der Cyberbedrohungslage seit 2016 angefertigt, um damit Aussagen für die weitere zukünftige Entwicklung zu treffen.

Cyberbedrohung aktuell

Die Bedrohungslage hat sich in der jüngeren Vergangenheit nur langsam verändert. Der Fokus von Cyberkriminellen liegt nämlich nicht zwangsläufig auf der Entwicklung neuer Bedrohungen, sondern vielmehr Optimierung vorhandener Strategien. 2016 waren Banking-Trojaner wie SpyEye noch die Hauptbedrohung für Internetnutzer und massive Datendiebstähle, wie sie heute leider gang und gäbe sind, wurden als spektakuläre Einzelfälle in den Nachrichten diskutiert. Die heute allgegenwärtige Ransomware fand sich nur auf vereinzelten Maschinen. Zudem erscheint der Gesamtumsatz von Angriffen auf Kryptowährungen mit circa 100 Millionen im Jahr 2016 verglichen zu den rund 4 Milliarden von 2022 (nach Analyse der Firma Chainalysis) beinahe gering.

Dennoch lassen sich bei genauerer Betrachtung bereits die Samen vieler Entwicklungen identifizieren, die heutzutage den Cyberalltag bestimmen. So sahen wir schon 2016 bemerkenswertes Wachstum bei einer Angriffsmethode, die sich über mehrere Entwicklungsstufen zu dem heutigen hoch skalierten Ransomware-Geschäft entwickelte – damals noch meistens auf individuelle Nutzer und auf wenige hunderte Dollar pro Erpressungsversuch beschränkt. Auch die Art und Weise wie Daten-Leaks genutzt werden, hat sich weiterentwickelt. 2016 dachten Kriminelle noch im Rahmen der Banking-Welt und waren an Informationen zu Bankkonten und Kreditkarten interessiert. Heute sind die Gruppierungen in erster Linie hochorganisierte, doppelte Erpresser. Das heißt: Sie verschlüsseln nicht nur Daten durch Ransomware-Angriffe, sondern monetarisieren die Daten-Leaks selbst und setzen Unternehmen damit noch stärker unter Druck. Außerdem werden Angriffe zunehmend durch Technologien wie KI automatisiert.

Auch bei der Vernetztheit der Bedrohungsakteure – wie sie kommunizieren, rekrutieren und Dienste austauschen – hat sich einiges getan. Untergrundforen für Cyberkriminelle gibt es beispielsweise schon lange. Doch handelte es sich früher noch um Foren, über die in erster Linie Wissenstransfer stattfand, so sind daraus regelrechte Handelsplattformen geworden, in denen man nicht nur Know-how, sondern auch alle Werkzeuge einschließlich Support (etwa für RaaS oder Botnets), Mitarbeiter und Daten potenzieller Opfer über ein zentrales, einfach zu bedienendes Interface erhalten kann. Cyberkriminelle sehen sich heute mehr denn je als organisierte Unternehmen und dementsprechend professionell ist mittlerweile ihr Auftreten und ihre ganze Infrastruktur.

Wie „ticken“ Cyberkriminelle

Doch egal, wie verbindlich sie auftreten: Gewöhnliche Cyberkriminelle haben in der Regel einfache Ziele: Ihnen geht es in erster Linie darum, sich selbst die Arbeit leichter zu machen und dabei trotzdem den Profit zu steigern. Sie wollen durch Optimierung ihrer Prozesse mit möglichst wenig Aufwand möglichst viel Gewinn erzielen und so schnell zum ersehnten Reichtum gelangen. Aus diesen Gründen neigt dieser Personentypus auch eher weniger zu risikohaften Investments. Evolution statt Revolution ist die Devise. Sie erfinden nicht ständig das Rad neu, wenn es darum geht, Angriffe auf ihre Ziele zu planen, sondern sie feilen kontinuierlich an Effektivität und Effizienz. Kurz gesagt: Bei Cyberkriminellen handelt es sich letztlich auch nur um Menschen, die ein möglichst angenehmes, konfliktfreies Arbeitsumfeld mit möglichst viel Verdienst verbinden wollen. Diese Konflikt- und Risikoaversion kann aber für Reibereien sorgen, wenn plötzlich neben Wirtschaftskriminalität auch politische Motive eine Rolle spielen.

Ein prägnantes Beispiel dafür bietet die Ransomware-Gruppe Conti, die sich auf spektakuläre Weise selbst zerlegte. Aufgrund eines Daten-Leaks durch einen ukrainischen Sicherheitsforscher konnte urplötzlich die ganze Welt, inklusive der eigenen Belegschaft, Einblick in die Organisation, Toolkits, Trainingsabläufe und internen Chatprotokolle der russlandnahen Hackergruppe erhaschen. Politischer Druck und Streitereien wegen der eigenen Position im Ukraine-Krieg, sowie sich aufbauende interne Spannungen und menschliche Konflikte durch offenliegende Chats und Beschwerden sorgten schließlich dafür, dass die Gruppe quasi implodierte.

Selbst Cyberkriminelle wollen also nicht in einem toxischen Arbeitsumfeld tätig sein. Sie entschließen sich ja gerade dazu, kriminell zu werden, weil dies in ihren Augen einfacher ist, als regulärer Arbeit nachzugehen. Es ist auch diese Bequemlichkeit und Risikoaversion, die für wenig Innovationsbegeisterung in der Welt der Cyberkriminalität sorgt. Zum Beispiel bewiesen 2015 zwei Sicherheitsforscher in einem Proof of Concept die Möglichkeit, die Systeme eines fahrenden Autos manipulieren zu können. Daraufhin erwarteten viele in der IT-Security, dass Cyberkriminelle dies auch beispielsweise für Auftragsmorde ausnutzen würden, was aber nie eintrat. Der Grund: Der Aufwand steht in keinem Verhältnis zum Ertrag. Für die angesprochene Straftat gibt es „deutlich günstigere“ Methoden. Das soll nicht bedeuten, dass es keine Straftaten mit dem IoT-Objekt „Auto“ geben wird, aber die Manipulation der Steuerelemente ist bislang noch nicht in einem funktionierendem Geschäftsmodell abgebildet. Damit Cyberkriminelle also tätig werden, müssen sie die Aussicht darauf haben, dass diese Tätigkeit einen signifikanten Wert über eine gewisse Zeit schöpft, der höher ist als das, was alternative oder reguläre Geschäftsmodelle erwirtschaften können.

Doch neben wirtschaftlichen Gründen spielen – wie bereits der Fall Conti verdeutlicht – auch politische Motive eine wachsende Bedeutung in der Welt der Bedrohungsakteure. Nicht zuletzt treten staatliche Akteure immer mehr auf den Plan. Deren Hauptantrieb liegt in der Regel in Spionage oder dem Erreichen von politischen Zielen – etwa Stopp der iranischen Atomwaffenproduktion, Ausschaltung von Energieversorgung und so weiter. Diese nehmen gerade in der Quantität deutlich zu und vermischen sich teilweise mit klassischen cyberkriminellen Motiven. Beispielsweise sind Krypto-Hacks eine profitable Methode, um die von Sanktionen gebeutelten Staatsfinanzen von Ländern wie Russland und Nordkorea wieder zu sanieren. Der Angriff auf die Ronin „Bridge“ – das Äquivalent einer Wechselstube in der Kryptowährungswelt – wird etwa der Hackergruppe Lazarus zugeschrieben, die mit dem nordkoreanischen Regime in Verbindung steht. Der komplexe Angriff, der durch die Übernahme von 5 der 9 sogenannten Validator-Knoten mithilfe von Schwachstellen-Angriffen und Spear-Phishing-Attacken erfolgte, spülte etwa 650 Millionen in die Kasse der Auftraggeber.

„Hacktivismus“, also ideologisch getriebene Cyberkriminalität, ist ebenfalls ein Phänomen, das beileibe nicht neu ist, aber gerade in der heutigen Zeit als Folgeerscheinung von politischen Konflikten eine neue bedrohliche Qualität und Quantität annimmt. Hacktivisten sind Menschen, die durch Hacking ein – im weitesten Sinne – politisches Ziel verfolgen, ohne dabei im Auftrag von Regierungen zu handeln. Konflikte wie der Krieg in der Ukraine sorgen dabei nicht nur für großen Zulauf in der Hacktivistenszene, auch die Grenzen zwischen staatlich und privat organisiert verschwimmen immer weiter. Das Wissen, wie Angriffe funktionieren, wird damit in Hände von Menschen gelegt, die ihre Legitimierung anhand persönlicher Überzeugungen definieren. Aber auch als Gesellschaft beginnen wir, Hacktivisten zu tolerieren, wenn Sie Ziele angreifen, die wir aufgrund unserer politischen Ansichten für valide halten.

Die Zukunft der Cyberkriminalität

IT dient ganz allgemein dazu, Menschen ihre Arbeit leichter zu machen und wird zu diesem Zweck immer weiterentwickelt. Kriminelle oder Menschen mit niedrigen moralischen Werten, die immer schon bereit waren, den einfachen Weg zu gehen, werden Cyberkriminalität deshalb auch weiterhin als enorm attraktiv empfinden – bei geringem persönlichem Risiko.

Auch in naher Zukunft wird zudem die Anzahl von politisch getriebenen Bedrohungsakteuren zunehmen. Hacktivismus wird vielen potenziellen Kriminellen als Einstieg und Training dienen. Der Angriff auf vermeintlich legitime Ziele bringt nicht nur Erfahrung und Selbstvertrauen, sondern auch das Gefühl, berechtigt so zu handeln. Die Vermischung mit monetären Zielen wird für viele Akteure nur eine Frage der Zeit sein. Insbesondere darauf sollten Unternehmen sich einstellen. Immerhin verstärken sich die Konflikte zwischen Großmächten wie China, Russland und den USA weiter, während die EU oftmals zwischen die Fronten gerät.

Dabei spielen nicht nur vermehrt auftretende staatliche Akteure eine Rolle, sondern auch der private Hacktivismus nimmt stark zu. Gerade im Rahmen von geopolitischen Reibereien fühlen sich immer mehr Überzeugungstäter dazu berufen, in Konflikte einzugreifen. Vor allem wenn man bedenkt, dass für diese Form des Aktivismus nicht einmal vom Sessel aufgestanden werden muss. Akteure können auch vom eigenen Schreibtisch aus für die Ukraine, Russland, und andere kämpfen. Wer dann tatsächlich angreift – ob Staat oder Privatorganisation, wird immer schwerer voneinander zu trennen sein.

Diese Überlegungen sollten bei zukünftigen Security-Strategien von Unternehmen eine Rolle spielen, denn nur wer die Motive seines Gegners kennt, kann effektiv für diesen attraktive Ziele identifizieren und sich proaktiv auf Cyberangriffe vorbereiten.

Über die Autoren:Richard Werner ist Business Consultant bei Trend Micro.

Robert (Bob) McArdle ist Direktor im Team für vorausschauende Bedrohungsforschung (Forward-Looking Threat Research, FTR) und im Team für Aufklärung und Überwachung von Angreifern (Adversary Intelligence and Monitoring, AIM) bei Trend Micro.

(ID:49905981)