Ransomware-Akteure nehmen gezielt Führungskräfte ins Visier

ThreatLabz identifizierte Opfer einer Ransomware-Kampagne und analysierte die Position der Opfer im Unternehmen und wie Funktionen und Befugnisse dazu beitragen, die Organisation zu unterwandern. Über einen Zeitraum von einem Monat identifizierte ThreatLabz 351 Opfer in 334 Organisationen, die mit einer einzelnen Ransomware-Kampagne in Verbindung standen.

Führungskräfte und kritische Geschäftsfelder im Fokus

Die untersuchten Bedrohungsakteure hatten sich dabei auf den Erstzugang, den Diebstahl großer Mengen an Unternehmensdaten sowie die selektive Verschlüsselung kritischer Systeme spezialisiert. Die detaillierte Auswertung der Opferprofile ergab, dass 62 Prozent der betroffenen Personen auf Managementebene oder höher angesiedelt waren. Dies deutet darauf hin, dass die Täter systematisch nach Mitarbeitenden suchen, die über einen privilegierten Zugriff auf Kundendaten, Finanzunterlagen, Verträge und operative Systeme verfügen. Der Wert eines kompromittierten Managementkontos wurde durch den Umfang der Zugriffsrechte definiert, die mit der Position verbunden sind. Führungskräfte können beispielsweise Zahlungen freigeben, Budgets und Lieferanten verantworten, Verträge prüfen, auf sensible Unterlagen zugreifen oder die Zusammenarbeit über verschiedene Geschäftsbereiche hinweg koordinieren.

Auch bei den Branchen und Abteilungen zeigten sich in der Analyse klare Schwerpunkte. Die Hälfte der kompromittierten Unternehmen stammte aus der Industrie mit über 35 Prozent sowie der Informationstechnologie mit knapp 15 Prozent. Für Ransomware-Gruppen können Mitarbeitende in Industrieunternehmen Wege zu kritischen Systemen eröffnen, die Fertigung, Distribution oder Logistik unterstützen. In der Informationstechnologie können kompromittierte Konten geistiges Eigentum und Plattformen offenlegen, die für die Bereitstellung digitaler Dienste genutzt werden. Die Störung dieser Systeme kann schnell sowohl operativen als auch finanziellen Druck erzeugen. Die Verschlüsselung einer Produktions-, Logistik- oder Servicebereitstellungsplattform kann den Geschäftsbetrieb und damit den Umsatz beeinträchtigen, während gestohlene technische Daten Erpressungsforderungen untermauern können.

Innerhalb der betroffenen Organisationen entfielen mehr als 75 Prozent der Opferpersonas auf fünf zentrale Geschäftsbereiche. Am stärksten anvisiert wurde das Finanz- und Rechnungswesen, gefolgt vom Vertrieb, dem operativen Betrieb, der Personalabteilung und dem Marketing. Demografisch betrachtet lag der Schwerpunkt mit rund 44 Prozent auf der Generation X, wobei das Durchschnittsalter der Opfer 46 Jahre betrug. Mitarbeitende dieser Generation bekleiden häufiger etablierte Management- oder höherwertige Positionen und verschaffen Angreifern dadurch Zugang zu wertvollen Systemen, Daten und Entscheidungsbefugnissen.

Täuschungstaktiken der Angreifer

Um sich das Vertrauen der anvisierten Entscheidungsträger zu erschleichen, nutzen die Angreifer häufig künstlich erzeugte Dringlichkeit sowie die falsche Identität von vermeintlichen IT-Mitarbeitenden. Dabei kommen vertraute Werkzeuge wie Microsoft Teams oder Quick Assist zum Einsatz, woraus schnell weitreichender Datendiebstahl und Erpressung resultieren können.

Da die KI eine bessere Personalisierung von Angriffsmaßnahmen und überzeugende Täuschungsmaßnahmen durch Identitätsdiebstahl ermöglicht, können Ransomware-Akteure mit weniger offensichtlichen Warnsignalen angreifen. Um dieses Risiko zu minimieren, rät ThreatLabz Unternehmen dringend zur Implementierung einer Zero-Trust-Architektur für eine strikte Netzwerksegmentierung und zur Verhinderung von lateralen Bewegungen im System. Ebenso wichtig ist die konsequente Durchsetzung des Least Privilege-Prinzips, um den Zugriff auf sensible Daten strikt auf das Notwendigste zu begrenzen. Das Blockieren externer Nachrichten in Kollaborationstools, die Sensibilisierung der Mitarbeitenden für die Verifizierung von internen IT-Anfragen sowie der Einsatz von KI-gestützten Sicherheitslösungen zur kontinuierlichen Überwachung bilden die essenziellen Bausteine einer effektiven Verteidigungsstrategie gegen diese zielgerichteten Bedrohungen.