GandCrab ist eine Ransomware-Familie f\u00fcr Microsoft Windows, die seit 2018 als Ransomware-as-a-Service betrieben wurde. Kriminelle mieteten den Zugang zur Schadsoftware gegen einen Anteil am erpressten L\u00f6segeld<\/strong>, statt die Verschl\u00fcsselungstechnik selbst zu entwickeln. Nach einer Infektion verschl\u00fcsselt die Ransomware Dateien auf dem betroffenen System und hinterlegt eine L\u00f6segeldforderung, die zur Zahlung in Kryptow\u00e4hrung auffordert. Die Verbreitung erfolgte \u00fcber verschiedene Angriffsvektoren, darunter manipulierte E-Mail-Anh\u00e4nge und die Ausnutzung von Schwachstellen in Softwaresystemen. Weil einzelne Mieter des RaaS-Programms unabh\u00e4ngig voneinander agierten, konnten einzelne Kampagnen eigene Verbreitungswege und Zielspektren w\u00e4hlen. Im Juni 2019 stellten die Entwickler den Support f\u00fcr GandCrab offiziell ein<\/strong>.<\/p>\n Weil GandCrab \u00fcber mehrere Angriffswege gleichzeitig verbreitet wurde, konnte die Ransomware auf unterschiedlichen Pfaden in ein Firmennetzwerk gelangen. Bei einem Versicherer reicht daf\u00fcr ein einziges kompromittiertes Postfach oder eine ungepatchte Anwendung<\/strong> an der Netzwerkgrenze aus, wenn Angreifer dar\u00fcber Zugriff auf interne Systeme erhalten. Ab diesem Einstiegspunkt kann sich die Verschl\u00fcsselung auf weitere Systeme im Netzwerk ausbreiten, sofern keine Segmentierung den Zugriff begrenzt und Zugriffsrechte nicht ausreichend eingeschr\u00e4nkt sind. Ein einzelner ungepatchter Servicezugang kann so ausreichen, um eine gro\u00dfe Zahl an Arbeitspl\u00e4tzen im gesamten Unternehmen zu betreffen.<\/p>\n GandCrab funktioniert nach dem Ransomware-as-a-Service-Modell: Die Entwickler stellen die Schadsoftware anderen Kriminellen gegen eine Gewinnbeteiligung zur Verf\u00fcgung, sodass diese eigene Kampagnen ohne eigene Entwicklungsarbeit durchf\u00fchren k\u00f6nnen. Nach der Infektion eines Systems verschl\u00fcsselt GandCrab lokale Dateien und, sofern die Zugriffsrechte des kompromittierten Kontos dies zulassen, auch erreichbare Netzlaufwerke. Die Verschl\u00fcsselung erfolgt dabei pro System mit einem individuellen Schl\u00fcssel, sodass ohne den passenden privaten Schl\u00fcssel keine regul\u00e4re Wiederherstellung<\/strong> der Originaldateien m\u00f6glich ist. Anschlie\u00dfend hinterlegt die Ransomware eine L\u00f6segeldforderung mit Zahlungsanweisung in Kryptow\u00e4hrung sowie einer Frist, nach deren Ablauf die Forderung steigt.<\/p>\n Die Verbreitung selbst l\u00e4uft \u00fcber mehrere parallele Kan\u00e4le: Phishing-E-Mails mit manipulierten Dokumentanh\u00e4ngen<\/strong>, kompromittierte Werbenetzwerke und die Ausnutzung bekannter Schwachstellen in Serversoftware. Welcher Kanal im Einzelfall genutzt wird, h\u00e4ngt von der jeweiligen Kampagne der Betreiber ab, die den RaaS-Zugang gemietet haben. Sicherheitsforscher werteten nach der Einstellung des Supports \u00f6ffentlich bekannt gewordene Schl\u00fcssel aus, um betroffenen Nutzern nachtr\u00e4glich Entschl\u00fcsselungsm\u00f6glichkeiten anzubieten. Solche Analysen zeigen exemplarisch, wie stark der Erfolg eines RaaS-Programms von der Zahl unabh\u00e4ngiger Mieter und deren gew\u00e4hlten Verbreitungswegen abh\u00e4ngt.<\/p>\nWie funktioniert GandCrab?<\/h2>\n
Woran erkenne ich GandCrab?<\/h2>\n