Yemeni Hacker wegen Black Kingdom Ransomware angeklagt

MÜNCHEN (IT BOLTWISE) – Die US-Justizbehörden haben Anklage gegen einen jemenitischen Staatsbürger erhoben, der im Verdacht steht, die Black Kingdom Ransomware weltweit eingesetzt zu haben.

Die US-amerikanische Justiz hat Anklage gegen Rami Khaled Ahmed aus Sanaa, Jemen, erhoben. Ihm wird vorgeworfen, die Black Kingdom Ransomware auf globaler Ebene eingesetzt zu haben, um Unternehmen, Schulen und Krankenhäuser in den USA zu attackieren. Ahmed, der sich vermutlich noch in Jemen aufhält, wird beschuldigt, durch die Ausnutzung einer Schwachstelle im Microsoft Exchange Server, bekannt als ProxyLogon, die Ransomware entwickelt und verbreitet zu haben. Die Ransomware verschlüsselte entweder die Daten der Opfer oder behauptete, diese gestohlen zu haben, und forderte ein Lösegeld in Höhe von 10.000 US-Dollar in Bitcoin. Die Opfer wurden angewiesen, den Zahlungsnachweis an eine Black Kingdom E-Mail-Adresse zu senden. Die Ransomware wurde auf etwa 1.500 Computersystemen in den USA und anderswo eingesetzt. Black Kingdom, auch als Pydomer bekannt, wurde zuvor mit Angriffen in Verbindung gebracht, die Schwachstellen in Pulse Secure VPN ausnutzten. Laut Microsoft war es die erste Ransomware-Familie, die die ProxyLogon-Schwachstellen ausnutzte. Der Sicherheitsanbieter Sophos beschrieb Black Kingdom als „etwas rudimentär und amateurhaft“ und stellte fest, dass die Angreifer die ProxyLogon-Schwachstelle nutzten, um Web-Shells zu installieren, die dann verwendet wurden, um PowerShell-Befehle zum Herunterladen der Ransomware auszuführen. Sollte Ahmed verurteilt werden, drohen ihm bis zu fünf Jahre Haft pro Anklagepunkt. Der Fall wird vom FBI mit Unterstützung der neuseeländischen Polizei untersucht. Diese Anklage erfolgt inmitten einer Reihe von Ankündigungen der US-Regierung gegen verschiedene kriminelle Aktivitäten. Die Entwicklungen kommen zu einer Zeit, in der Ransomware weiterhin eine anhaltende Bedrohung darstellt, obwohl sie zunehmend fragmentiert und volatil wird. Die zunehmende Dezentralisierung der Ransomware-Operationen führt dazu, dass immer mehr ehemalige Affiliates unabhängig agieren, anstatt an etablierte Gruppen gebunden zu bleiben. Diese Verschiebung wird durch eine verstärkte Zusammenarbeit der Strafverfolgungsbehörden, erfolgreiche Zerschlagungen wichtiger Ransomware-Infrastrukturen und eine breitere Vermeidung von Attribution durch Markenrotation oder unmarkierte Kampagnen vorangetrieben. Daten von Verizon zeigen, dass 44 % aller analysierten Verstöße im Jahr 2024 den Einsatz eines Ransomware-Stammes beinhalteten, gegenüber 32 % im Jahr 2023. Doch es gibt auch gute Nachrichten: Immer mehr Opfer weigern sich, Lösegelder zu zahlen, und weniger Organisationen sind bereit, die geforderten Summen zu zahlen. Trotz dieser Rückschläge zeigt Ransomware keine Anzeichen eines baldigen Endes, wobei im ersten Quartal 2025 2.289 gemeldete Vorfälle verzeichnet wurden, ein Anstieg von 126 % im Vergleich zum ersten Quartal 2024. Nordamerika und Europa machten mehr als 80 % der Fälle aus. Konsumgüter und Dienstleistungen, Unternehmensdienstleistungen, industrielle Fertigung, Gesundheitswesen sowie Bauwesen und Ingenieurwesen waren die am stärksten von Ransomware betroffenen Sektoren.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!