Petya/NotPetya und WannaCry: Die größten Ransomware-Angriffe des Jahres waren gar keine

Trend Micro hat gestern vor Journalisten in München eine Bilanz der IT-Security-Ereignisse des Jahres 2017 vorgestellt und zugleich eine Prognose für die Entwicklung im Bereich IT-Sicherheit im Jahr 2018 (PDF) abgegeben. In Bezug auf Ransomware – dem Thema das zumindest die öffentliche Wahrnehmung im Bereich IT-Sicherheit 2017 maßgeblich bestimmt hat, rückte Trend-Micro-Sprecher Udo Schneider aber eine verbreitete Fehlannahme zurecht. Seiner Auffassung nach können die Angriffe mit WannaCry und Petya/NotPetya nicht wirklich als Ransomware-Attacken eingestuft werden, da sie entscheidende Kriterien nicht erfüllen.

So habe WannaCry nicht wirklich die erforderliche Infrastruktur aufgewiesen, um Opfern nach der Zahlung tatsächlich die Entschlüsselung zu ermöglichen. Das sei aber Voraussetzung für ein funktionierendes “Ransomware-Geschäft”. Denn sobald sich herumspricht, dass nach Zahlungen keine Entschlüsselung möglich ist, würde die Zahlungsbereitschaft der Opfer rapide sinken. Und Petya/NotPetya hat laut Schneider “nicht einmal den Anschein erweckt, dass in Geiselhaft genommene Daten ausgelöst werden können.”

Das widerspreche in beiden Fällen grundlegend dem üblichen Geschäftsmodell der Cyberkriminellen. “Der Deckmantel einer Ransomware wurde verwendet, um Dinge zielgerichtet kaputt zu machen”, so Schneider zusammenfassend. Damit schließen sich die Trend-Micro-Experten der Auffassung an, die in Bezug auf WannaCry bereits zuvor McAfee und in Bezug auf Petya/NotPetya nach ihren Analysen Comae Technologies und Kaspersky Lab geäußert hatten.

Aber auch 2018 wird Ransomware laut Trend Micro dennoch weiterhin ein “Erfolgsmodell” sein. Das Unternehmen erwartet einen Zuwachs an gezielten Ransomware-Angriffen, bei denen Kriminelle einzelne Organisationen ins Visier nehmen und deren Geschäfte lahmlegen, um dadurch größere Lösegeldforderungen zu erzwingen. Dabei könne man unter Umständen auch lediglich von “Ransom” also schlicht Lösegelderpressung – sprechen, denn eine verschlüsselnde Software sei dazu nicht unbedingt immer erforderlich.

Ein Beispiel, wie so etwas ablaufen könne, sei die jüngst bekannt gewordene Zahlung von 100.000 Dollar an Angreifer, die Kundendaten bei Uber abgegriffen hatten. Der Angriff war zunächst vertuscht und die Zahlung als “Fundprämie” für eine Sicherheitslücke getarnt worden. Für den Verlust von 57 Millionen Kundendaten würden dem Konzern nach Ende der Übergangsregelung für die EU-DSGVO Ende Mai 2018 bei Bekanntwerden eine Strafzahlung in Höhe von bis zu 4 Prozent des Umsatzes drohen-also weit über 200 Millionen Dollar, rechnete Schneider vor.

Da sei die Zahlung an die Hacker in Höhe von 100.000 Dollar geradezu ein Schnäppchen. Es sei also leicht vorstellbar, dass sich Kriminelle im kommenden Jahr auf den Datendiebstahl bei Firmen konzentrieren und die dann nicht mit verschlüsselten Rechnern, sondern mit der Veröffentlichung der Daten erpressen. Denn während bislang Kundendaten kaum einen buchhalterischen Wert hatten, würden sie durch die drohenden Strafzahlungen an die EU bei Verlust auf einmal beziffert. Dadurch spielen sie dann auch in Risikoanalysen von Firmen eine Rolle-was von der EU auch beabsichtigt war – werden aber eben auch als Ziel für Kriminelle interessanter.

Ebenfalls eine starke Zunahme – “einfach deshalb, weil es so gut funktioniert”- erwartet Trend Micro bei Business Email Compromise (BEC) – auch CEO-Betrug genannt. Anfällig sind hierfür insbesondere Firmen mit stark hierarchischen Strukturen. Das FBI schätzt den dadurch weltweit entstandenen Schaden zuletzt auf über 5 Milliarden Dollar. Das Bundeskriminalamt sprach dieses Jahr in Deutschland von “Schäden in Millionenhöhe”.

Trend Micro rechnet damit, dass sich der Schaden bis Ende des Jahres 2017 weltweit auf über 9 Milliarden summiert. Bei Angreifern sei die bezüglich der Vorarbeiten aufwändige Masche ebenfalls zunehmend beliebter, da der “Return on Investment” im Erfolgsfall relativ hoch ist.