Hive war eine Ransomware-as-a-Service-Gruppierung sowie die gleichnamige Schadsoftware, die f\u00fcr eine Reihe schwerwiegender Erpressungsangriffe auf Unternehmen weltweit verantwortlich war. Die Gruppe operierte nach dem Affiliate-Modell: Die Kerngruppe entwickelte Ransomware und Infrastruktur, w\u00e4hrend angeworbene Affiliates die eigentlichen Angriffe durchf\u00fchrten und einen Anteil des erpressten L\u00f6segelds erhielten. Diese Arbeitsteilung erlaubte es der Kerngruppe, ohne eigenes operatives Risiko zu skalieren, w\u00e4hrend Affiliates von fertiger Schadsoftware und Infrastruktur profitierten. Kritische Infrastrukturen und Gesundheitseinrichtungen geh\u00f6rten neben Unternehmen zu den Zielen des Netzwerks, wodurch einzelne Angriffe unmittelbare Auswirkungen auf den Betrieb ganzer Kliniken<\/strong> haben konnten.<\/p>\n Affiliates nutzten kompromittierte VPN-Zugangsdaten als Einstiegspunkt in Unternehmensnetzwerke, bevor sie die Ransomware ausl\u00f6sten. Verschaffen sich Fremde auf diesem Weg Zugriff auf Systeme, die Vertr\u00e4ge und Zahlungen eines Versicherers verwalten, k\u00f6nnen sensible Kundendaten und Zahlungsprozesse gleicherma\u00dfen betroffen sein. Ohne getrennt aufbewahrte Sicherungskopien kann eine Wiederherstellung dieser Systeme zus\u00e4tzlich erschwert werden<\/strong>, etwa wenn Backups \u00fcber dasselbe Netzwerk erreichbar und damit ebenfalls betroffen sind. Diese Struktur endete im Januar 2023, als Ermittlungsbeh\u00f6rden die technische Infrastruktur der Gruppe im Rahmen einer international koordinierten Operation beschlagnahmten.<\/p>\n Hive funktionierte nach dem Affiliate-Modell, bei dem die Kerngruppe Schadsoftware und Infrastruktur bereitstellte und angeworbene Affiliates die eigentlichen Angriffe durchf\u00fchrten. F\u00fcr den Erstzugriff nutzten Affiliates kompromittierte Zugangsdaten, etwa f\u00fcr VPN-Verbindungen, und bewegten sich anschlie\u00dfend lateral durch das Netzwerk<\/strong>, bevor sie die Ransomware ausl\u00f6sten. Diese Trennung zwischen Entwicklung und Ausf\u00fchrung machte es f\u00fcr Ermittlungsbeh\u00f6rden schwieriger, einzelne Angriffe einer zentralen Verantwortung zuzuordnen, da unterschiedliche Affiliates mit derselben Schadsoftware operierten.<\/p>\n Vor der Verschl\u00fcsselung exfiltrierten Affiliates zus\u00e4tzlich Daten, um im Rahmen einer Double-Extortion-Strategie mit deren Ver\u00f6ffentlichung auf einer Leak-Site zu drohen. Vom erpressten L\u00f6segeld erhielt die Kerngruppe einen vertraglich vereinbarten Anteil, den Rest behielten die ausf\u00fchrenden Affiliates. Dieses Verg\u00fctungsmodell schuf einen finanziellen Anreiz, immer neue Affiliates anzuwerben<\/strong> und die Angriffsfl\u00e4che des Netzwerks stetig zu vergr\u00f6\u00dfern. Diese Arbeitsteilung endete erst, als Ermittlungsbeh\u00f6rden die technische Infrastruktur der Gruppe im Januar 2023 beschlagnahmten und damit die Kommunikation zwischen Kerngruppe und Affiliates unterbrachen.<\/p>\nWie funktioniert Hive?<\/h2>\n
Woran erkenne ich Hive?<\/h2>\n