Play Ransomware, auch als PlayCrypt bekannt, ist eine Cybercrime-Gruppe, die seit 2022 gezielte Angriffe auf Unternehmen und staatliche Institutionen durchf\u00fchrt. Die Gruppe verfolgt die Strategie des Big Game Hunting<\/strong>: Statt breit gestreuter Kampagnen w\u00e4hlt sie gezielt gro\u00dfe, zahlungskr\u00e4ftige Organisationen als Ziel aus. Nach dem Eindringen in ein Netzwerk verschl\u00fcsselt Play Ransomware die Daten der Opfer und versieht die betroffenen Dateien mit einer eigenen Kennung, begleitet von einer L\u00f6segeldforderung. Kommunale Verwaltungen, Medienunternehmen und weitere Organisationen in mehreren L\u00e4ndern z\u00e4hlten bereits zu den betroffenen Zielen, darunter die USA, Deutschland, Belgien und die Schweiz.<\/p>\n Ein m\u00f6glicher Einstiegspunkt f\u00fcr die Gruppe sind Schwachstellen in extern erreichbaren VPN- oder RDP-Diensten<\/strong>. Nutzen Angreifer eine solche Schwachstelle bei einem Versicherer aus, k\u00f6nnen sie dar\u00fcber Zugriff auf interne Systeme erhalten, Daten verschl\u00fcsseln und zus\u00e4tzlich mit zuvor gestohlenen Unternehmensdaten Erpressungsdruck aufbauen. Ob ein Angriff erfolgreich verl\u00e4uft, h\u00e4ngt ma\u00dfgeblich davon ab, wie schnell bekannte Schwachstellen in solchen extern erreichbaren Diensten geschlossen werden und wie konsequent Zugriffsrechte auf diese Dienste begrenzt sind. Welche Schwachstelle im Einzelfall genutzt wird, h\u00e4ngt von der jeweils eingesetzten VPN- oder RDP-L\u00f6sung des betroffenen Unternehmens ab.<\/p>\n Play Ransomware verschafft sich Zugang \u00fcber extern erreichbare VPN- oder RDP-Dienste, deren Schwachstellen die Gruppe gezielt ausnutzt. Bereits kompromittierte Zugangsdaten aus fr\u00fcheren Datenlecks<\/strong> k\u00f6nnen den initialen Zugriff zus\u00e4tzlich erleichtern, sofern Nutzer dieselben Passw\u00f6rter mehrfach verwenden. Nach dem ersten Zugriff bewegt sich die Gruppe innerhalb des Netzwerks weiter, sichert sich Zugriff auf zus\u00e4tzliche Systeme und kopiert wertvolle Unternehmensdaten, bevor die eigentliche Verschl\u00fcsselung beginnt. Verschl\u00fcsselte Dateien erhalten dabei die Endung .play, ein erkennbares Merkmal der Gruppe. Anschlie\u00dfend hinterlegt Play Ransomware eine L\u00f6segeldforderung und droht zus\u00e4tzlich mit der Ver\u00f6ffentlichung der zuvor gestohlenen Daten<\/strong>, falls das Opfer nicht zahlt.<\/p>\n MITRE ATT&CK dokumentiert \u00dcberschneidungen bei Taktiken und Werkzeugen mit den Ransomware-Gruppen Hive und Nokoyawa, leitet daraus aber keine Zugeh\u00f6rigkeit ab. Wie lange die Gruppe zwischen erstem Zugriff und Verschl\u00fcsselung agiert, h\u00e4ngt vom Einzelfall ab und kann von wenigen Tagen bis zu mehreren Wochen<\/strong> reichen.<\/p>\nWie funktioniert Play Ransomware?<\/h2>\n
Woran erkenne ich Play Ransomware?<\/h2>\n