Neben der kürzeren Verschlüsselungsdauer bietet diese Vorgehensweise einen weiteren Vorteil: Da die Eingriffe in das System weniger ausgeprägt sind als bei einer herkömmlichen Ransomware, steigt die Wahrscheinlichkeit, dass der Schädling von automatischen Erkennungstools übersehen oder zumindest nicht rechtzeitig entdeckt wird.
In einem Bericht schreiben Sicherheitsforscher von SentinelLabs, dass sie den neuen Trend erstmals Mitte 2021 bei der Ransomware LockFile entdeckt haben. Seither haben sie mit Black Basta, ALPHV (BlackCat), PLAY, Agenda und Qyick weitere Vertreter gefunden, die auf intermittierende Verschlüsselung setzen. Diese werden häufig auch in Untergrundforen als Ransomware as a Service angeboten, wobei die Vorteile der schnelleren Verschlüsselung als schlagendes Verkaufsargument genutzt werden. Eine Werbebotschaft von Qyick bezeichnet intermittierende Verschlüsselung beispielsweise „als das, was die coolen Kids nutzen“.
Auch die Agenda-Ransomware bietet ihren „Kunden“ intermittierende Verschlüsselung an, hier als optionale und konfigurierbare Einstellung. Die Hacker können dabei zwischen drei verschiedenen Methoden wählen: Bei „Skip-Step“ wird eine bestimmte Anzahl an MB verschlüsselt, dann wird eine bestimmte Zahl an MB übersprungen. Bei „Fast“, werden die ersten X MB einer Datei verschlüsselt und bei „Percent“ wird ein bestimmter Prozentsatz einer Datei chiffriert, die übrigen Prozent bleiben unverschlüsselt. Bei allen drei Methoden sind die Parameter der Verschlüsselung frei wählbar. Ähnliche Wahlmöglichkeiten bieten auch BlackCat, wobei es hier zusätzlich einen „Auto“-Modus gibt, der die verschiedenen Methoden kombiniert und die Dateien so noch schwerer dechiffrierbar macht.
Die Sicherheitsexperten warnen davor, die Gefahr durch intermittierende Verschlüsselung zu unterschätzen, denn die oben erwähnte Schnelligkeit und Unsichtbarkeit im System dürften dazu führen, dass sich immer mehr Ransomware-Gruppen für eine Nutzung entscheiden werden. Die schnellere Verschlüsselung und die Möglichkeit, länger unentdeckt zu bleiben, sorgt dafür, dass den Opfern immer weniger Zeit bleibt, um der Ransomware bei einer Infektion Einhalt zu gebieten. Umso wichtiger ist es, die Hacker gar nicht erst hereinzulassen und die Sicherheitsmaßnahmen auf den neusten Stand zu bringen.
Das 8com Cyber Defense Center schützt die digitalen Infrastrukturen seiner Kunden effektiv vor Cyberangriffen. Dazu vereint 8com zahlreiche Managed Security Services wie Security Information and Event Management (SIEM), Endpoint Detection and Response (EDR) mit Incident Response und Vulnerability Management unter einem Dach. Verschiedene Penetrationstests und Security-Awareness-Leistungen runden das Angebot ab.
8com gehört zu den führenden Anbietern von Awareness-Leistungen und Informationssicherheit in Europa. Seit 18 Jahren ist das Ziel von 8com, Kunden bestmöglich vor Cyberangriffen zu schützen und gemeinsam ein ökonomisch sinnvolles, aber trotzdem hohes Informationssicherheitsniveau zu erzielen. Durch die einzigartige Kombination aus technischem Know-how und direkten Einblicken in die Arbeitsweisen von Cyberkriminellen können die Cyber-Security-Experten bei ihrer Arbeit auf fundierte Erfahrungswerte zurückgreifen.
8com GmbH & Co. KG
Europastraße 32
67433 Neustadt an der Weinstraße
Telefon: +49 (6321) 48446-0
Telefax: +49 (6321) 48446-29
http://www.8com.de
Pressereferentin
Telefon: +49 (30) 30308089-14
E-Mail: kraus@quadriga-communication.de
Leiterin Kommunikation & Medien
Telefon: +49 (6321) 48446-0
E-Mail: redaktion@8com.de
