LockBit führt Liste der Ransomware-as-a-Service-Angriffe an
Threat-Intelligence-Team von Malwarebytes schreibt der Ransomware-Gruppe im Oktober 59 Angriffe zu.
Seit dem Verschwinden von Conti bleibt LockBit damit die am meisten genutzte Form von RaaS, basierend auf den Malwarebytes bekannten Angriffen. Auch ein Vergleich mit den nächsten Konkurrenten von LockBit ist hier aufschlussreich, denn seit März hat weder ALPHV noch Black Basta nur annährend dasselbe Aktivitätsniveau wie LockBit erreicht. Letztere Ransomware-Gruppe machte im September 2022 mit 48 Prozent der von Malwarebytes festgestellten Angriffe fast die Hälfte aller RaaS-Aktivitäten aus.
nach Gruppen, Oktober 2022. (Copyright: Malwarebytes)
LockBit bietet Continental-Daten für 50 Millionen Dollar an
In Deutschland macht LockBit aktuell im Zusammenhang mit einem Hackerangriff auf Continental von August von sich reden. Vor Kurzem wurde ein Chat zwischen Continental und der Ransomware-Gruppe auf deren Darknet-Webseite veröffentlicht, der ein Verhandlungsgespräch zwischen beiden Parteien abbildet. Das Chatprotokoll zeigt, dass Continental Beweise dafür suchte, dass LockBit tatsächlich über die angeblich gestohlenen 40 TByte interne Daten verfügt und diese letztlich auch löschen würde, sobald das Lösegeld gezahlt wird.
Die letzte Nachricht, die Continental zugeschrieben wird und auf den 24. Oktober datiert ist, lautet: “Hallo, wir müssen ein Management-Meeting abhalten und werden uns morgen am Ende des Arbeitstages wieder bei Ihnen melden.” Anscheinend verlief das Treffen nicht so, wie LockBit es sich erhofft hatte. Nach mehreren erfolglosen Versuchen, die Verhandlungen erneut zu starten, hat die Ransomware-Gruppe die Continental-Daten auf ihrer Darknet-Webseite zum Verkauf oder zur Vernichtung für 50 Millionen US-Dollar zur Verfügung gestellt.
Geldwäscherei: Wie LockBit Geld transferiert
Interessante Einblicke in die Organisation von LockBit lieferte im Oktober ein von vx-underground veröffentlichtes Interview. Dieses wurde angeblich mit dem Gründer von LockBit geführt, der auf der Seite als „LockBit administrator“ (LBO) bezeichnet wird. Das Interview gibt Aufschluss über die Größe von LockBit und auch darüber, wie in Kryptowährung gezahlte Lösegelder in Bargeld umgewandelt werden.
Zunächst zur Größe der LockBit-Organisation: Laut LBO hat LockBit derzeit über 10 Mitglieder, die aus Pentestern, Entwicklern, Geldwäschern, Testern und Verhandlungsführern bestehen. Damit wäre das Team von LockBit fast um eine Größenordnung kleiner als das von Conti, welches vor ihrer Auflösung aus rund 100 Mitgliedern bestand.
Die Skalierbarkeit von RaaS ergibt sich letztlich durch den Einsatz von Affiliates – das heißt Partnerorganisationen, die Angriffe mit der Ransomware von LockBit durchführen und dafür mit einem Teil des Lösegelds bezahlen. Laut LBO hat LockBit aktuell nicht mehr als 100 Affiliates, der Wunsch wären 300.
Lösegeld an chinesische Geldwechsler
Nach den Zahlen von Malwarebytes sind diese 100 Personen für etwa ein Drittel aller RaaS-Angriffe verantwortlich. Das deutet darauf hin, dass die Zahl an professionellen Kriminellen, die an Ransomware-Angriffen beteiligt sind, vermutlich eher gering ist. Betrachtet man jedoch die enormen Geldsummen, die in den letzten fünf Jahren von Ransomware-Gruppen erpresst wurden und damit in relativ wenige Hände flossen, kann man davon ausgehen, dass es sich hier um ein beachtliches Geldgeschäft handeln muss.
Nach Angaben von LBO wird das Lösegeld an chinesische Geldwechsler, von dort noch einmal an einen anderen Geldwechsler überwiesen. Das Geld wird dann mit einer Vielzahl von Methoden auf Bankkarten übertragen. Geldkuriere werden dann zu Geldautomaten geschickt und bringen letztlich das Geld zu LockBit. Dabei werden von 1.000 US-Dollar bis zu 7.000 US-Dollar transferiert.
Nach Angaben der Ransomware Task Force zahlten Ransomware-Opfer im Jahr 2020 insgesamt 350 Millionen Dollar an Lösegeld. Der Einsatz von Geldwäschetechniken, wie oben beschrieben, würde damit mindestens 50.000 Geldautomaten-Transaktionen erfordern. Das könnte ein Hinweis darauf sein, warum Kryptowährungs-Transfers und Geldwäsche seit den letzten zwei Jahren zu den Hauptzielen der Strafverfolgungsbehörden zu zählen scheinen.
LockBit-Klone aufgetaucht
Im September wurde der Software-Builder für LockBit 3.0 veröffentlicht. Das Threat-Intelligence-Team von Malwarebytes musste feststellen, dass es noch nie so einfach war, eigene Ransomware zu erstellen. Zudem sagte Malwarebytes voraus, dass neue kriminelle Banden, die bisher nicht mit LockBit verbunden waren, die Software in Zukunft nutzen könnten – auch um ihre eigene Ransomware außerhalb des LockBit-Affiliate-Programms zu erstellen.
Im Oktober ist dies nun tatsächlich geschehen. Es gibt Vermutungen, dass die Ransomware-Gruppe Bl00dy den Builder für LockBit 3.0 verwendet hat. Ein LockBit-Klon wurde Gerüchten zufolge bei einem Angriff auf die „Banco de Brasília“ (BRB) verwendet. Und eine Bitcoin-Adresse, die in Lösegeldnotizen einer unbekannten Gruppe, die modifizierte LockBit-Software verwendet, entdeckt wurde, hat etwa 20.000 US-Dollar an Zahlungen erhalten.
