Was ist Ryuk Ransomware und wie funktioniert sie?

Was ist Ryuk Ransomware?

Ryuk ist eine Art von Ransomware, die nach ihrer Installation Dateien auf einem infizierten System verschlüsselt. Das Lösegeld wird in der Regel in Bitcoin oder anderen Kryptowährungen gefordert. Ryuk hat zahlreiche große Unternehmen ins Visier genommen, die Microsoft Windows und verwandte Systeme nutzen. 

Wurde erstmals im August 2018 entdeckt und zunächst für eine Gruppe gehalten, die von Nordkorea aus operiert, doch inzwischen wird angenommen, dass sie von russischen Hackern entwickelt wurde. 

70 % der Managed-Service-Provider (MSPs) geben an, dass Ransomware die häufigste Malware-Bedrohung für ihre Kunden darstellt. Der Schutz vor Ryuk und die Bewältigung eines Angriffs sind für MSPs eine entscheidende Funktion und ein wichtiges Unterscheidungsmerkmal.

Was ist das Besondere an Ryuk Ransomware und warum ist sie so erfolgreich? 

Ryuk ist insofern einzigartig, als es sich – wie Microsoft es definiert – um einen von Menschen durchgeführten Ransomware-Angriff handelt. Die Angreifer setzen äußerst ausgefeilte Targeting- und Tarnstrategien ein, um eine hohe Erfolgsquote zu gewährleisten. 

Da sie von Menschen betrieben werden, können Angreifer mehrstufige Angriffe auf Unternehmensnetzwerke durchführen. 

Es beginnt mit einer sorgfältigen Auswahl der Ziele, anstatt eines automatisierten "Spray and Pray"-Ansatzes, und erfordert sowohl umfassende als auch spezifische Kenntnisse der Zielinfrastruktur, um erfolgreich zu sein.

Danach werden Tools wie Mimikatz verwendet, um Benutzeranmeldeinformationen zu stehlen. Danach werden Tools wie PowerShell Empire eingesetzt, um die Umgebung zu erkunden und sich seitlich zu bewegen, um schließlich über den Domänenadministrator eine Ausweitung der Berechtigungen vorzunehmen. 

Es handelt sich nicht um ein schnelles Rein und Raus. Es handelt sich um einen langwierigen, fortlaufenden Angriff, bei dem echte Personen innerhalb des Netzwerks aktiv sind und Daten sammeln.

Die Angreifer wählen ihre Ziele in der Regel sorgfältig aus und haben es eher auf große Organisationen als auf Einzelpersonen abgesehen. Dies hat nicht nur dazu geführt, dass die Ryuk-Ransomware in die Schlagzeilen geriet, sondern den Betreibern der Ransomware auch Lösegeldzahlungen in Millionenhöhe eingebracht. 

Berühmte Ryuk-Angriffe in den Nachrichten

Zu den Opfern der Ryuk-Angriffe zählen Berichten zufolge große Organisationen, Kommunalverwaltungen, Krankenhäuser und weitere Einrichtungen. Zum Beispiel:

• Die Abteilung für soziale Dienste
• Tribune Publishing, darunter die Los Angeles Times, Chicago Tribune, Wall Street Journal und die New York Times
• Bostons Komitee für öffentliche Beratungsdienste
• Jackson County, Georgia, (bezahlte ein Lösegeld von 400.000 Dollar)
• Riviera Beach, Florida (gezahltes Lösegeld: 594.000 Dollar)
• LaPorte County, Indiana (bezahlte $130.000 Lösegeld)

Wie wird Ryuk geliefert?

Wie viele andere Ransomware-Stämme werden auch Ryuk-Ransomware-Angriffe hauptsächlich über eine Phishing-E-Mail verbreitet. 

Nach Angaben der US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) wird Ryuk über „Phishing-Kampagnen verbreitet, die entweder Links zu bösartigen Websites enthalten, auf denen die Malware gehostet wird, oder Anhänge mit der Malware“. 

Kurz gesagt: Ein Benutzer erhält eine Phishing-E-Mail, die auf den ersten Blick legitim aussieht. Im Anhang der E-Mail befindet sich ein kompromittiertes Microsoft Office-Dokument. Dieses Dokument könnte "Quarterly Results" oder etwas ähnlich Harmloses heißen. Beim Öffnen des Dokuments verwenden die Angreifer jedoch die Makrofunktion, um mit der Ausführung von Code zu beginnen. Sobald dieser Prozess gestartet ist, verwenden die Angreifer eine Reihe von Produkten, um sich innerhalb des Unternehmens weiterzuentwickeln und immer höhere Zugriffsrechte zu erlangen.

Ryuk wurde vor über zwei Jahren identifiziert. Warum richtet er immer noch Schaden an? 

Ransomware-Angriffe ändern sich ständig. Angreifer nutzen die Automatisierung, um gängige Bedrohungsvarianten zu mutieren, was zu einer massiven Zunahme bisher unbekannter, erstmaliger Bedrohungen führt. 

Dies ist eine beliebte Technik, die es Angreifern ermöglicht, die meisten Sicherheitslösungen zu umgehen, die in der Regel Varianten bestehender Bedrohungen falsch erkennen, selbst wenn die Signaturen der ursprünglichen Bedrohungen bereits registriert sind. Diese Schwachstelle ermöglicht es Angreifern, weiterhin Unternehmen ins Visier zu nehmen, ihre bestehenden Sicherheitslösungen zu umgehen und ihre Nutzlast im Netzwerk des Opfers zu verteilen. 

Bekämpfen Sie die neuesten Bedrohungen mit den Ransomware-Lösungen von Datto > 

Der alte Ryuk vs. der neue Ryuk

Im Januar 2021 wurde eine neue Ryuk-Variante identifiziert. Es tauchen ständig neue Varianten auf, doch diese hatte enorme Auswirkungen, da sie über wurmartige Fähigkeiten verfügt, die es ihr ermöglichen, sich automatisch lateral innerhalb der infizierten Netzwerke auszubreiten. Frühere Versionen von Ryuk konnten sich nicht automatisch lateral durch ein Netzwerk bewegen und erforderten einen Dropper sowie eine anschließende manuelle Verbreitung. Bei der neuen Version handelt es sich um einen Computerwurm, der Kopien von sich selbst ohne jegliches menschliches Eingreifen von Gerät zu Gerät verbreitet. 

Wie Sie sich vor der nächsten Ryuk-Variante schützen können - noch bevor Sie wissen, dass es sie gibt

Wie wir bereits festgestellt haben, wird Ryuk, wie andere gängige Ransomware-Instanzen, hauptsächlich über Phishing- oder Spear-Phishing-E-Mails verbreitet. Phishing ist schwierig, und selbst die erfahrensten Cyber-Experten sind nicht immer in der Lage, es zu erkennen. Daher sollten Sie nicht nur Ihre Mitarbeiter darüber aufklären, wie man Phishing-Bedrohungen vermeidet, sondern auch sicherstellen, dass Sie und Ihre Kunden einen fortschrittlichen Schutz für E-Mails und andere Tools für die Zusammenarbeit verwenden, der sowohl Phishing als auch Malware abdeckt. Wenn Sie eine Schutzlösung auswählen, verwenden Sie eine, die einen angriffsagnostischen Erkennungsmechanismus verwendet, damit sie vor unbekannten Ryuk-Varianten schützt, sobald diese auftauchen. 

Da Ryuk nach dem schwächsten Glied in der Kette sucht, ist es außerdem sehr empfehlenswert, Ihr Netzwerk und Ihre Systeme ständig auf Sicherheitsschwachstellen zu überprüfen und diese zu beheben, sobald sie entdeckt werden.  

Wie hoch ist die Lösegeldforderung bei Ryuk-Angriffen?

Die Lösegeldbeträge variieren, aber es gibt Berichte über Ryuk-Angriffe, bei denen Lösegeld in Millionenhöhe gefordert wurde. Denken Sie daran, dass die Zahlung des Lösegelds nicht die Lösung ist, um einem Ransomware-Angriff zu entgehen.

Wie man Ryuk-Infektionen erkennt und stoppt

In erster Linie ist es wichtig, dass Sie als MSP und für Ihre Kunden über Maßnahmen zur Erkennung und Behebung von Ransomware verfügen. Die Ransomware-Erkennung ist ein Bestandteil von Backup-Systemen, der die Auswirkungen eines Angriffs mindern kann. Durch die frühzeitige Erkennung eines Angriffs können Systeme schnell isoliert und wiederhergestellt werden, um zu verhindern, dass dem Angreifer ein Lösegeld für die Entschlüsselung gezahlt werden muss.

So ermöglicht beispielsweise die Fernüberwachungs- und -verwaltungslösung (RMM) von Datto den MSPs, jeden vertraglich vereinbarten Endpunkt aus der Ferne zu überwachen, zu verwalten und zu betreuen. Dies bietet eine zusätzliche Sicherheitsebene, die eine integrierte Ransomware-Erkennung umfasst. 

Wenn Ransomware erkannt wird, sendet Datto RMM automatisch Warnmeldungen, so dass MSPs proaktive Maßnahmen ergreifen können. Dazu gehören das Beenden des Ransomware-Prozesses und die Isolierung des infizierten Geräts, um eine Ausbreitung der Ransomware zu verhindern. Dadurch werden Ausfallzeiten reduziert und MSPs müssen nicht darauf warten, dass Kunden mögliche Infektionen melden. 

Zusätzlich zu RMM können MSPs die Backup- und Wiederherstellungsservices von Datto in Anspruch nehmen, die die einzige Möglichkeit darstellen, die Geschäftskontinuität für Kunden zu gewährleisten. 

Datto bietet verschiedene Lösungen darunter:

• Eine umfassende Suite für Geschäftskontinuität und Notfallwiederherstellung (BCDR): zum Beispiel „Datto Unified Continuity“, die alle Anforderungen an Geschäftskontinuität und Notfallwiederherstellung abdeckt, einschließlich des Schutzes von Servern, Dateien, PCs und SaaS-Anwendungen
• Datto SIRIS – eine zuverlässige All-in-One-Lösung für Geschäftskontinuität und Notfallwiederherstellung, die speziell für MSPs entwickelt wurde, um Datenverluste zu verhindern und Ausfallzeiten bei Kunden zu minimieren
• Datto ALTO – eine kompakte, aber leistungsstarke Lösung für Geschäftskontinuität und Notfallwiederherstellung, die speziell für MSPs entwickelt wurde, um Ausfallzeiten zu minimieren und Datenverluste bei ihren Kleinunternehmenskunden effizient zu verhindern
• Datto „ Endpoint Backup “ für PCs schützt die Windows-basierten Computer der MSP-Kunden vor Ausfallzeiten und Datenverlusten und stellt Daten im Katastrophenfall schnell wieder her.
• SaaS Protection bietet zuverlässige und sichere Cloud-zu-Cloud-Backups für Microsoft 365 und Google Workspace, um den Schutz kritischer Cloud-Daten zu gewährleisten

Ryuk hat bereits bewiesen, dass es sich ständig weiterentwickeln wird, um Sicherheitslösungen zu umgehen. MSPs müssen in der Lage sein, ihren Kunden echte, praktische Lösungen anzubieten, die dieser ständigen Bedrohung begegnen.