Cyberkriminalität als Dienstleistung: Kommerzialisierung treibt Bedrohungswelle an

Die Ära der "Alles-als-Service"-Angebote hat sich für kleine und mittlere Unternehmen als vorteilhaft erwiesen. Die Möglichkeit, auf innovative Tools und fortschrittliche Funktionen zuzugreifen, ohne in deren Entwicklung oder die entsprechende Infrastruktur investieren zu müssen, hat dazu beigetragen, die Wettbewerbsbedingungen zu verbessern.

Aber es war auch ein Segen für Cyber-Kriminelle.

Genauso wie viele Hightech-Unternehmen ihre technologische Software, Infrastruktur und Dienstleistungen auf Abruf für andere Unternehmen anbieten, verkaufen auch geschickte Hacker ihre Fähigkeiten als sauber verpackte Pay-per-Use-Dienste, die jeder nutzen kann. Wie der ehemalige Agent des Defense Criminal Investigative Service und Cybersecurity-Professor Thomas S. Hyslip erklärt, hat sich der Markt für Cyberkriminalität zu einer Managed-Services-Branche entwickelt, weil es profitabler und weniger riskant ist, die Werkzeuge für die Begehung eines Verbrechens zu verkaufen, als es selbst zu begehen.[1]

Dieser Trend hat dazu geführt, dass Cyberkriminalität zur Massenware geworden ist, da die Einstiegshürde für Cyberkriminelle so niedrig wie nie zuvor ist. Bösewichte müssen nicht mehr hochqualifiziert oder besonders motiviert sein. Sie müssen keinen Code schreiben oder gar eine Technologie kaufen. Sogenannte Crimeware-as-a-Service kann auch die bevorzugte Option für "fortgeschrittene Angreifer sein, die Hit-and-Run-Operationen durchführen wollen", so ein Artikel in CyberNews.[2] Die Tools, die zur Durchführung aller Arten von Cyberkriminalität erforderlich sind, werden als Service verkauft und können mit Kryptowährung bezahlt werden, ganz gleich, ob ein böser Akteur Botnets für DDoS-Angriffe (Distributed Denial of Service) mieten, für die Verwendung von Malware zur Unterstützung von Ransomware bezahlen oder Hilfe beim Phishing erhalten möchte.

Ransomware-as-a-Service (RaaS) hat bisher die meiste Aufmerksamkeit - und Zugkraft - erhalten, aber auch Phishing-Kits sind weit verbreitet, und Experten warnen vor einem Anstieg der KI-gestützten Dienste für Cyberkriminalität . Globale Cybersicherheitsbehörden und Strafverfolgungsbehörden haben dies zur Kenntnis genommen. "Der Markt für Ransomware wird immer professioneller, und die Zahl der von Cyberkriminellen angeheuerten Dienste nimmt zu", heißt es in einer gemeinsamen Empfehlung vom Februar 2022, die von der Cybersecurity and Infrastructure Security Agency (CISA) in Zusammenarbeit mit dem Federal Bureau of Investigation, der National Security Agency, dem Australian Cyber Security Centre und dem britischen National Cyber Security Centre (NCSC) herausgegeben wurde.^[3] Auch wenn die offiziellen Bemühungen zur Eindämmung der Cybercrime-as-a-Service-Branche wichtig sind, müssen Unternehmen wachsam bleiben, um sicherzustellen, dass ihre Systeme und Benutzer angemessen vor diesen immer leichter zu implementierenden Angriffen geschützt sind.

Am weitesten entwickelt: Ransomware-as-a-Service

Bei RaaS handelt es sich im Grunde um eine kostenpflichtige Malware , die zur Verschlüsselung oder zum Diebstahl von Daten verwendet werden kann, um von der Organisation des Opfers eine Zahlung zu erhalten. Der Hersteller der Ransomware bietet die RaaS-Software "Partnern" an, die dann das Exploit einsetzen, um Daten zu verschlüsseln oder als Geiseln zu nehmen. In der Regel erhält der Malware-Entwickler einen Prozentsatz von dem, was die Opfer für ihren Entschlüsselungsschlüssel oder die Rückgabe ihrer Daten zahlen. Das hat für beide Seiten Vorteile: Der Malware-Entwickler kann seine Einnahmen bei geringerem Risiko steigern, und der Käufer kann mit geringen oder gar keinen technischen Kenntnissen oder langfristigen Investitionen profitable Exploits durchführen.

Es wird geschätzt, dass bis zu zwei Drittel der Ransomware-Angriffe durch das RaaS-Modell ermöglicht werden, und die Nutzung nimmt zu.[4] Eine Zunahme von RaaS-Angeboten im Jahr 2021 "senkte die Eintrittsbarrieren für Bedrohungsakteure und brachte hocheffektive Malware in die Hände von mehr Betreibern", so ein aktueller Bericht,[5] was zu rekordverdächtigen Ransomware-Vorfällen führte, die 2022 voraussichtlich weiter zunehmen werden.

Es gab einige bemerkenswerte Strafverfolgungsbemühungen in diesem Bereich. Ende letzten Jahres führten die russischen Behörden eine Razzia bei einem der größten Ransomware-as-a-Service-Betreiber namens REvil durch, verhafteten 14 seiner Mitglieder und stellten auf Ersuchen von US-Behörden seine Tätigkeit ein.[6] Wie das Wall Street Journal jedoch feststellte, tauchen diese Crimeware-Betreiber nach öffentlichkeitswirksamen Verhaftungen in der Regel unter neuen Namen wieder auf.

Die Ransomware selbst ist nicht der einzige Teil des kriminellen Unternehmens, der professioneller verpackt wird. Full-Service-RaaS-Betreiber bieten ihren Partnern nicht nur einen Kundendienst während der Ransomware-Kampagnen, sondern können auch Ransomware-Zahlungen und den Zugang zu Entschlüsselungsschlüsseln abwickeln.[7] Initial Access Brokers (IABs) finden Schwachstellen in Unternehmen und verkaufen diesen Zugang an Ransomware-Bedrohungsakteure.[8] Die CISA-Beratung ergab, dass einige Cyberkriminelle auch unabhängige Dienste nutzen, um Zahlungen auszuhandeln, Opfer bei der Zahlung zu unterstützen und Zahlungsstreitigkeiten zu schlichten. Der NCSC stellte sogar fest, dass einige Ransomware-Täter "ihren Opfern die Dienste eines 24/7-Hilfezentrums anboten, um die Lösegeldzahlung und die Wiederherstellung verschlüsselter Systeme oder Daten zu beschleunigen."

Phishing-Kits fördern E-Mail-Eintritt

Wenn es darum geht, in das Netzwerk eines Unternehmens einzudringen, ist Phishing laut dem jüngsten CISA-Bericht nach wie vor der wichtigste Infektionsvektor für Ransomware-Vorfälle. Und die Kosten eines erfolgreichen Phishing-Angriffs gehen über das Geld hinaus, das für entwendete Daten gezahlt wird. Eine Studie des Ponemon Institute aus dem Jahr 2021 schätzt, dass entgangene Geschäfte den größten Anteil an den Kosten von Datenschutzverletzungen ausmachen.[9]

Auch hier profitieren Möchtegern-Bösewichte vom Ansatz der Managed Services. Sie können einen vorgefertigten Phishing-Angriff - auch bekannt als Phishing-Kit - lizenzieren, der im Dark Web und auf Online-Marktplätzen erhältlich ist. Bei diesen Kits handelt es sich um fertige .zip-Dateien, die den Code und die Ressourcen enthalten, die für den Einsatz eines Phishing-Angriffs auf einem Webserver erforderlich sind. Phishing-as-a-Service ist zunehmend automatisiert und wird voraussichtlich immer raffinierter.

Noch intelligentere Crimeware-as-a-Service

Da die ruchlose Anwendung künstlicher Intelligenz für die Cyberkriminalität zunimmt, ist es nur logisch, dass auch KI-gestützte Crimeware auf den Markt kommt. "Wir haben Crime-as-a-Service, wir haben AI-as-a-Service. Wir werden auch KI für Verbrechen als Dienstleistung haben", sagte Philipp Amann, Leiter der Strategie des Europäischen Zentrums für Cyberkriminalität der EU-Strafverfolgungsbehörde Europol, gegenüber Politico.[10]

Wir haben gesehen, wie KI personalisiertere Phishing-Versuche und effektivere und heimlichere Malware ermöglichen kann. Es ist also nicht schwer zu erkennen, wie KI diese bestehenden As-a-Service-Produkte verbessern kann. Aber die fortschrittlichen Algorithmen, die Deep Fake-Videos ermöglichen, könnten auch für die Erstellung von Fingerabdrücken oder Gesichtsbildern verwendet werden, mit denen sich biometrische Systeme täuschen lassen. Das Gleiche gilt für die Algorithmen des maschinellen Lernens, mit denen CAPTCHA geknackt werden können.

Die Quintessenz

Der Markt für Cyberkriminalität als Dienstleistung wird wahrscheinlich wachsen, solange er sich lohnt - und das tut er, denn er bietet den Anbietern von Crimeware eine risikoärmere Einnahmequelle und ihren Kunden eine einfache Möglichkeit, raffinierte Phishing-, Ransomware- und andere Angriffe durchzuführen. Während Regierungs- und Strafverfolgungsbehörden daran arbeiten, die Probleme zu lösen, müssen Unternehmen sicherstellen, dass ihre Systeme geschützt sind und ihre Benutzer wachsam bleiben.

[1] "Cybercrime-as-a-Service Operations," Palgrave Handbook of International Cybercrime and Cyberdeviance

[2] "Das Crimeware-as-a-Service-Modell erobert die Welt der Cyberkriminalität. Hier ist der Grund," CyberNews

[3] "CISA, FBI, NSA und internationale Partner geben einen Hinweis auf Ransomware-Trends ab 2021 heraus," Cybersecurity and Infrastructure Security Agency

[4] "Ransomware als Service ist das neue große Problem für Unternehmen," ZDNet

[5] "ZeroFox veröffentlicht Prognosebericht für 2022, der eine Zunahme von Ransomware, Kompromittierungen durch Drittanbieter und Malware-as-a-Service erwartet," BusinessWire

[6] "Was die Verhaftung von REvil-Hackern durch Russland für Ransomware bedeutet," Wall Street Journal

[7] Ransomware-as-a-service, TechTarget

[8] Der Aufstieg der Erstzugangsvermittler, Digital Shadows

[9] "Cost of Data Breach Report 2021," Ponemon Institute und IBM

[10] "One Group That's Embraced AI: Criminals," Politico