Ransomware as a Service (RaaS) ist ein kriminelles Geschäftsmodell, bei dem Ransomware-Entwickler ihre Schadsoftware und Infrastruktur an „Affiliates“ vermieten, die die Angriffe gegen eine Beteiligung am Lösegeld ausführen.
Wie RaaS funktioniert
Die Betreiber entwickeln und pflegen die gesamte Infrastruktur:
- Verschlüsseler und Entschlüsseler;
- Zahlungsportal und Verhandlungschat;
- Leak-Seite.
Affiliates dringen in die Netze der Opfer ein und bringen die Ransomware aus. Oft kaufen sie Zugänge bei Initial Access Brokern oder nutzen Zugangsdaten, die Infostealer erbeutet haben.
Das Lösegeld wird geteilt, meist erhält der Affiliate 70–80 %. Manche Programme haben Rekrutierungsanzeigen, Support-Teams und Regeln, etwa das Verbot, bestimmte Länder oder Branchen anzugreifen.
Warum RaaS wichtig ist
RaaS hat Ransomware zu einer Industrie gemacht. Die fähigsten Entwickler müssen selbst niemanden mehr hacken, und durchschnittlich begabte Affiliates erhalten professionelle Werkzeuge. Bekannte Programme sind REvil, DarkSide, Conti, LockBit und BlackCat (ALPHV). Wird eine Marke zerschlagen, wechseln die Affiliates einfach zur nächsten – die Zahl der Angriffe sinkt kaum.
Strafverfolger haben dennoch Erfolge erzielt:
- Im Februar 2024 beschlagnahmte die Operation Cronos Infrastruktur und Leak-Seite von LockBit und stellte Entschlüsselungsschlüssel bereit.
- BlackCat löste sich per „Exit Scam“ auf, nachdem die Gruppe Berichten zufolge 22 Millionen Dollar Lösegeld von Change Healthcare kassiert hatte.
Da Affiliates unterschiedliche Einstiegswege nutzen, können Angriffe unter derselben Marke sehr verschieden aussehen.
Schutzmaßnahmen
- Schließen Sie typische Einfallstore: offenes RDP und VPN, ungepatchte Edge-Geräte, gestohlene Zugangsdaten.
- Achten Sie auf Anzeichen manueller Angriffe vor der Verschlüsselung: neue Admin-Konten, Fernwartungstools, große Datenabflüsse.
- Halten Sie isolierte Backups und einen Vertrag mit einem Incident-Response-Dienstleister bereit.
- Erstatten Sie Anzeige – beschlagnahmte Infrastruktur liefert manchmal kostenlose Entschlüsseler.
