Im zweiten Quartal 2020 war weiterhin zu beobachten, dass Ransomware-Gruppen vor dem Verschlüsseln Daten stehlen und diese als zusätzliches Druckmittel gegenüber ihren Opfern einsetzen. Während des gesamten Quartals wurden die Daten von Dutzenden Opfern, die das Lösegeld nicht gezahlt hatten, im Internet veröffentlicht oder an den Höchstbietenden verkauft. Es besteht nun die Wahrscheinlichkeit, dass bei mindestens jedem 10. Ransomware-Angriff Daten gestohlen werden.
Auch COVID-19 hat die Bedrohungslandschaft im zweiten Quartal weiter beeinflusst und das Remotedesktopprotokoll (RDP) bei Ransomware-Betreibern als Angriffsvektor noch beliebter gemacht. Vielen Unternehmen gelang es bei dieser kurzfristigen Einrichtung von Heimarbeitsplätzen offenbar nicht, RDP sicher umzusetzen, wodurch die Verbindungen anfällig sind.
Trotz der im ersten Quartal von den Cyberkriminellen gemachten Versprechen, den Gesundheitssektor außen vor zu lassen, wurden auch im zweiten Quartal einige Gesundheitsdienstleister Opfer von Ransomware. Allein in den USA waren in diesem Quartal 12 Krankenhäuser und andere Anbieter im Gesundheitswesen von Ransomware betroffen, wie in unserem Ransomware-Bericht für die USA (auf Englisch) thematisiert.
Darüber hinaus haben wir auch eine seltene Kooperation zwischen Ransomware-Gruppen beobachtet, wobei Maze mit LockBit und Ragnar Locker Informationen austauschte und gemeinsam Plattformen zur Datenveröffentlichung nutzte. Ob dies nur eine einmalige Zusammenarbeit oder die Geburt einer neuen Generation von Kartellen der Cyberkriminalität war, bleibt abzuwarten.
Die folgenden Statistiken basieren auf den zwischen dem 1. April und dem 30. Juni 2020 bei Emsisoft und ID Ransomware eingesendeten Ransomwares. Über den von Michael Gillespie, Sicherheitsforscher bei Emsisoft, ins Leben gerufenen Dienst ID Ransomware können Unternehmen und Privatpersonen nachvollziehen, welche Ransomware-Version ihre Dateien verschlüsselt hat.
Die am häufigsten gemeldeten Ransomware-Familien im zweiten Quartal 2020
Die folgende Übersicht zeigt die zehn im zweiten Quartal am häufigsten gemeldeten Ransomwares. Die als STOP/Djvu bekannte Ransomware-Familie ist dabei am häufigsten aufgetreten und zeichnet für 71,7 % aller Einsendungen verantwortlich.
Die am häufigsten gemeldeten Ransomware-Familien im 2. Quartal 2020 (inkl. STOP)
- STOP (Djvu): 71,70 %
- Phobos: 8,90 %
- Dharma (.cezar): 6,90 %
- REvil/Sodinokibi: 3,20 %
- GlobeImposter 2.0: 2,00 %
- Makop: 1,80 %
- Paymen45: 1,60 %
- LockBit: 1,40 %
- GoGoogle: 1,30 %
- Magniber: 1,10 %
Die am häufigsten gemeldeten Ransomware-Familien im zweiten Quartal 2020 (exkl. STOP)
In der folgenden Übersicht sind die zehn am häufigsten gemeldeten Ransomwares des zweiten Quartals 2020 ohne STOP aufgeführt.
Die am häufigsten gemeldeten Ransomware-Familien im 2. Quartal 2020 (exkl. STOP)
- Phobos: 30,60 %
- Dharma (.cezar): 23,60 %
- REvil/Sodinokibi: 10,80 %
- GlobeImposter 2.0: 7,00 %
- Makop: 6,00 %
- Paymen45: 5,50 %
- LockBit: 4,90 %
- GoGoogle: 4,30 %
- Magniber: 3,80 %
- Scarab: 3,40 %
Die meisten Ransomware-Einsendungen nach Land
In der folgenden Übersicht sind die zehn Länder aufgeführt, aus denen die meisten Ransomware-Einsendungen des zweiten Quartals 2020 kamen (inkl. STOP).
Die meisten Ransomware-Einsendungen im 2. Quartal 2020 nach Land
- Indien: 28,40 %
- USA: 16,10 %
- Ägypten: 11,50 %
- Indonesien: 10,60 %
- Pakistan: 8,40 %
- Brasilien: 8,40 %
- Südkorea: 5,50 %
- Türkei: 4,00 %
- Philippinen: 3,60 %
- Algerien: 3,6 %
Diskussion
STOP/Djvu war im ersten Quartal 2020 die am häufigsten gemeldete Ransomware und hat diese Führung auch im neuen Quartal nicht abgegeben. Diese erfolgreiche Familie, die meistens über Cracks, Key Generators und Aktivierungstools verbreitet wird, machte 71,7 % aller Einsendungen im zweiten Quartal aus. Im Vergleich zu den 70,2 % des vorherigen Quartals ist das also sogar noch ein leichter Anstieg.
Im Vergleich der beiden ersten Quartale dieses Jahres hat sich bei den am häufigsten gemeldeten Ransomware-Familien einiges geändert. Rapid, Rapid 2.0, Ryuk und Zeppelin wurden von Makop, Paymen45, LockBit und GoGoogle aus den Top 10 vertrieben. Maoloa hat seinen Rang an Scarab abgetreten, der nach STOP am häufigsten gemeldeten Ransomware-Familie.
In geografischer Hinsicht ist deutlich zu erkennen, dass Ransomware ein globales Problem ist. Allein sechs der 10 Länder (einschließlich der transkontinentalen Türkei), aus denen die meisten Ransomware-Meldungen kommen, liegen in Asien und machen 60 % aller Einsendung aus.
Indien ist weiter auf dem ersten Platz, wobei die Einsendungen im Vergleich zum ersten Quartal von 25,8 % auf 28,4 % angestiegen sind. Die USA haben derweil mit 16,1 % von vormals 10,2 % den höchsten Anstieg zu verzeichnen und sind damit vom vierten auf den zweiten Platz geklettert. Algerien ist der einzige Neuzugang in der Liste. Der Stammsitz des Anfang April einem Maze-Angriff zum Opfer gefallenen Ölkonzerns Sonatrach hat nun Italien vom zehnten Platz verdrängt.
- Statistikbericht zu Ransomware (1. Quartal 2020) (auf Englisch)
- Die länderspezifischen Kosten für Ransomware 2020
Übersetzung: Doreen Schäfer