CosmicBeetle-Gruppe verbreitet Ransomware

In ihren Erpresserbriefen und Webseiten versucht CosmicBeetle, die Reputation der bekannten, mittlerweile inaktiven LockBit-Gruppe auszunutzen, um Opfer zur Zahlung zu bringen. Darüber hinaus ist die Gruppe nun Teil des Ransomware-Dienstleisters RansomwareHub, der seit März 2024 aktiv ist und nun verstärkt in Erscheinung tritt.

“Eine eigene Ransomware zu schreiben, stellt auch Hackergruppen vor Herausforderungen – vor allem, wenn es sich um eine darin eher unerfahrene Gruppe wie CosmicBeetle handelt”, erklärt ESET Forscher Jakub Soucek. “Deshalb versuchte die Gruppe, die gute Reputation von Lockbit auszunutzen, um die Erfolgswahrscheinlichkeit für eigene Angriffe zu erhöhen.”

Brute-Force-Angriffe

CosmicBeetle verwendet häufig Brute-Force-Angriffe, um in die Systeme seiner Opfer einzudringen. Außerdem missbraucht die Gruppe verschiedene bekannte Schwachstellen. Der Grund dafür: Hier ist die Wahrscheinlichkeit am größten, dass die Zielunternehmen Software mit den entsprechenden Sicherheitslücken verwenden. Außerdem besitzen Organisationen dieser Größe selten ein robustes Patch-Management. Zu den betroffenen Branchen gehören: Fertigung, Pharmazeutik, Recht, Bildung, Gesundheitswesen, Technologie, Gastgewerbe, Freizeit, Finanzdienstleistungen sowie regionale Behörden.

ScRansom verschlüsselt und beendet Prozesse

ScRansom kann nicht nur verschlüsseln, sondern auch verschiedene Prozesse und Dienste auf dem betroffenen Computer beenden. ScRansom ist allerdings keine sehr ausgefeilte Ransomware. Dennoch war CosmicBeetle mit ihr in der Lage, einige wichtige Unternehmen erfolgreich anzugreifen.

Von ScRansom betroffene Opfer sollten bedenken: Die fehleranfällige Entschlüsselungs-Software der Hacker kann mutmaßlich nicht alle verschlüsselten Daten wiederherstellen. Selbst im günstigsten Fall ist die Entschlüsselung langwierig und kompliziert. Das bedeutet: Selbst, wenn sich Organisationen zur Zahlung des Lösegelds entschließen und das Entschlüsselungs-Tool erhalten, gehen im schlimmsten Fall viele Dateien verloren. ScRansom wird ständig weiterentwickelt. Dies spricht für eine qualitativ mangelhafte Ransomware.

CosmicBeetle verwendet Spacecolon

CosmicBeetle ist aktiv seit mindestens 2020. Entdeckt wurde die Gruppe 2023 und sie ist vor allem für die Verwendung ihrer eigens geschaffenen Delphi-Tools bekannt, die gemeinhin Spacecolon genannt werden. Diese bestehen aus ScHackTool, ScInstaller, ScService und ScPatcher.

Roger Homrich

Recent Posts

Industrielle KI: Siemens beansprucht Führungsrolle

Auf der Technologiemesse CES zeigte das Unternehmen, wie Daten, KI und softwaredefinierte Automatisierung zusammenwachsen.

4 Tagen ago

PQC-Verschlüsselung nicht auf lange Bank schieben

Was bedeutet der Entwurf "Transition to Post-Quantum Cryptography Standards" des National Institute of Standards and…

4 Tagen ago

So lang hält Deutschland ohne Digital-Importe durch

Bikom-Umfrage: 53 Prozent der Importeure müssten in der Folge von Einführungsstopps spätestens nach einem Jahr…

4 Tagen ago

Accenture: Innovationspotenzial autonomer KI erschließen

KI-Trends 2025: Flexible, generative KI-Lösungen ersetzen starre Architekturen / Mensch und KI bilden positive Lernschleife

5 Tagen ago

SIEM, SOAR und die Macht der Künstlichen Intelligenz

Wie interagieren die Kernkomponenten eines Security Operation Centers? Und welchen Einfluss hat KI auf die…

6 Tagen ago

DSGVO und generative KI: Passt das zusammen?

Mit den Vorteilen generativer KI gehen ernsthafte Herausforderungen einher, insbesondere in Bezug auf Datenschutz und…

6 Tagen ago