DragonForce: Neue Bedrohungen für die IT-Sicherheit durch Ransomware-Angriffe

LONDON (IT BOLTWISE) – Die Bedrohung durch Ransomware entwickelt sich weiter, wie der jüngste Angriff der DragonForce-Gruppe zeigt. Diese Gruppe hat es geschafft, über Sicherheitslücken in der SimpleHelp-Software eines Managed Service Providers (MSP) Zugang zu Kundensystemen zu erlangen.

Die Cyberkriminellen hinter der DragonForce-Ransomware haben sich Zugang zu einem nicht näher benannten Managed Service Provider (MSP) verschafft, indem sie Schwachstellen in der SimpleHelp-Software ausnutzten. Diese Software wird für das Remote Monitoring und Management (RMM) eingesetzt. Durch die Ausnutzung von Sicherheitslücken, die erst im Januar 2025 bekannt wurden, konnten die Angreifer Daten exfiltrieren und Ransomware auf mehreren Endgeräten installieren.

Der Angriff zeigt, wie anfällig die Lieferkette von MSPs für Cyberangriffe ist. Die DragonForce-Gruppe hat sich in der Welt der Cyberkriminalität als lukrative Option für Affiliate-Akteure etabliert, indem sie ein profitables Gewinnbeteiligungsmodell anbietet. In den letzten Monaten hat die Gruppe durch die Umstellung auf ein Ransomware-Kartell und ein neues Affiliate-Branding-Modell an Bedeutung gewonnen, das es anderen Cyberkriminellen ermöglicht, eigene Versionen der Ransomware unter verschiedenen Namen zu erstellen.

Die Angriffe auf den britischen Einzelhandel haben die Aufmerksamkeit auf die Bedrohung durch DragonForce gelenkt. Laut Berichten der BBC mussten betroffene Unternehmen Teile ihrer IT-Systeme abschalten. Während DragonForce die Verantwortung für die Erpressung und den Datenleak übernommen hat, deuten wachsende Beweise darauf hin, dass eine andere Gruppe, Scattered Spider, eine grundlegende Rolle bei der Ermöglichung dieser Angriffe gespielt haben könnte. Diese Gruppe ist bekannt für ihre cloud-zentrierten, identitätsbasierten Eindringmethoden und könnte als Zugangsmakler oder Kollaborateur innerhalb des DragonForce-Affiliate-Modells agieren.

Scattered Spider ist Teil eines größeren, lose organisierten Kollektivs namens The Com, das trotz Verhaftungen mutmaßlicher Mitglieder im Jahr 2024 ein Rätsel bleibt. Diese Entwicklungen deuten auf eine volatile Landschaft hin, in der sich Ransomware-Gruppen zunehmend fragmentieren und dezentralisieren, während die Loyalität der Affiliates sinkt. Hinzu kommt der wachsende Einsatz von Künstlicher Intelligenz in der Malware-Entwicklung und Kampagnen-Skalierung.

Der jüngste Angriff zeigt, wie wichtig es ist, die Sicherheitsmaßnahmen zu verstärken. Unternehmen sollten die Sensibilisierung der Mitarbeiter priorisieren und den Fernzugriff streng begrenzen. Dazu gehört die Verwendung von Richtlinien, um die Ausführung von virtuellen Maschinen und Fernzugriffssoftware auf Computern zu blockieren, die solche Software nicht haben sollten. Außerdem sollten alle ein- und ausgehenden Netzwerkverbindungen, die mit der Fernsteuerung verbunden sind, blockiert werden, außer von den für den Fernzugriff vorgesehenen Systemen.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!