Ransomware ist nicht nur ein Geschäft, es ist eine Szene. Hier kommt es nicht nur auf Kompetenz und Ressourcen an, sondern auch auf Einfluss und Marktanteile. Dies zeigt die Bitdefender-Analyse der Ransomware-as-a-Service-Aktivitäten der prominenten DragonForce-Gruppe.

DragonForce hat in den letzten zwölf Monaten laut eigenen Angaben 120 Opfer unter anderem in den USA, Italien und Australien angegriffen. Dafür entwickelte die Gruppe Verschlüsselungstools für Windows-, Linux- und ESXi-Umgebungen. Die cyberkriminelle Gruppe ist nicht mit den gleichnamigen malaiischen Hacktivisten zu verwechseln, die seit 2021 im Mittleren Osten ausgesuchte Ziele angriffen. DragonForce scheint offenbar rein wirtschaftliche und keine politischen Ziele zu verfolgen.

Ein wichtiger Unterschied zu anderen Ransomware-as-a-Service-Anbietern ist der kartellhafte Markt- und Machtanspruch der Gruppe:

Anzeige

• Kriminelle Infrastruktur: Einerseits lassen die Hintermänner ihren Partnern 80 Prozent ihres Gewinnes. Andererseits liefern sie ihnen aber auch die notwendige Infrastruktur, um die Online-Präsenz der Angreifer zu verwalten und Verschlüsselungssoftware zu verbreiten.
• Gesamtpaket an Ressourcen: Zudem stellt DragonForce automatisierte Abläufe, einen Blog, File-Server, Panel-Dashboards für Administratoren und Kunden, ein 24/7-Monitoring, Speicherplatz im Petabyte-Bereich, eine Kerberos-Verschlüsselung sowie andere Vorteile bereit.
• Faustpfände eines Service Providers: Indem sie diese Infrastruktur bereitstellen, kontrolliert DragonForce die Ressourcen der Verbündeten und Partner. Als RaaS-Anbieter können sie so aber auch ihre Serviceangebote für andere Kriminelle zum Beispiel bei Interessekonflikten beenden.

DragonForce verlangt von seinen Partnern nur 20 Prozent der erzielten Ransomware-Einnahmen, um die Strukturen zu nutzen. Offensichtlich geht es der Gruppe weniger um Profite, als vielmehr um Einfluss, Macht und Anteile am kriminellen Markt. Indem sie durch den Faustpfand Infrastruktur Konkurrenz und damit einhergehende Konflikte eliminieren, stellen sie sicher, dass ihre kriminellen Abläufe auch bei den häufigen Abspaltungen in der Szene weiter funktionieren.

DragonForce-Ransomware verfügt zudem über verschiedene Möglichkeiten, um Angriffe zu starten und durchzuführen:

• Beim Erstzugriff auf das Opfernetz nutzen die Akteure offengelegte Zugangsdaten und verschiedene bekannte Schwachstellen, darunter CVE-2024-21412, CVE-2024-21887 und CVE-2024-21893.
• Um Attacken auszuführen, nutzen die Kriminellen unterschiedliche Methoden wie Windows Command Shell oder DLL-Hijacking.
• Für den persistenten Zugriff nutzen die Angreifer Living-Off-The-Land-Techniken und ausführbare Dateien wie Schtasks.exe und Taskkill.exe. Die Gruppe kann für ihre Attacken Aufgaben planen, bösartigen Payload einführen, Systemkonfigurationen und andere Daten verändern sowie aktive Tasks beenden. Die Gruppe verändert auch die Einstellungen zum Energieverbrauch, damit Systeme nicht selbsttätig ihren Energiestatus verändern oder neu booten.
• Ransomware-Funktionen können Dateien löschen, deren Zeitstempel verändern und Sicherheitstools modifizieren. Die erpresserischen Angriffe erkennen auch Umgebungen für Analyse und Debugging – womit sie einem Erkennen durch eine Abwehrsoftware zuvorkommen.
  Command-and-Control erfolgt über FTP-Protokolle, Certuitl.exe oder PowerShell-Befehle.