Krypto und Ransomware: Die häufigsten Tendenzen

Die Erpressernachricht erscheint auf Ihrem Bildschirm und Sie erleben dies als Katastrophe – was völlig berechtigt ist, denn das ist es auch. Doch gleichzeitig findet derselbe Vorgang andernorts in Form eines Kundenservice-Anrufs statt. Man hat einen Formbrief verfasst. Es steht sogar ein Team in Bereitschaft, das nur darauf wartet, Ihre Anfrage entgegenzunehmen. Dies umfasst die Preisgestaltung, einen Verhandlungsprozess und die Konsequenzen, falls Sie die Zahlungsfrist verpassen. Einige dieser Plattformen erhielten sogar Fünf-Sterne-Bewertungen auf Portalen, auf denen Affiliates Ransomware-Plattformen so rezensieren, wie Freelancer Projektmanagement-Software bewerten.

In dieser Kluft – zwischen der Art und Weise, wie das Ereignis aus Ihrer Perspektive wahrgenommen wird, und wie es aus deren Sicht erscheint – liegt vieles von dem, was Ransomware eigentlich so interessant macht. Die technischen Details, die Namen der Exploits, die Dollarbeträge: All das ist nur das Gerüst. Die Dynamik des Ganzen wird von der Psychologie dessen angetrieben, was auf beiden Seiten dieser Transaktion geschieht.

Ransomware ist kein bloßes Nischengewerbe. Diejenigen, die professionelle Operationen leiten, betrachten sich selbst als Unternehmer, die ein Vertriebsproblem gelöst haben. Das Produkt ist vorhanden – eine Software, die Dateien verschlüsselt und ein Druckmittel schafft – und sie benötigen lediglich einen Weg, dies in Einkommen mit glaubhafter Abstreitbarkeit umzuwandeln, ohne dabei erwischt zu werden.

Dies wurde auf elegante Weise durch das Aufkommen des sogenannten Ransomware-as-a-Service-Modells gelöst, das bis zum Beginn der 2020er Jahre zur vorherrschenden Architektur in der Branche geworden war; das Kernteam entwickelt und wartet sowohl die Malware als auch die Infrastruktur (einschließlich der Kryptowährungs-Zahlungsabwicklung), während es einen Anteil an jedem gezahlten Lösegeld einbehält (in der Regel zwanzig Prozent). Affiliates übernehmen die Infiltrationen. Das Kernteam kommt mit dem Netzwerk eines Opfers niemals direkt in Berührung. Die Verwaltung der Entschlüsselungsschlüssel stellt für Affiliates somit kein Problem dar.

Das ist Arbeitsteilung – bei der Erpressung.

Die internen Kommunikationsdaten der Cyberkriminellen-Gruppe Conti, die im Februar 2022 kurz nach Beginn der russischen Invasion und noch bevor die Gruppe öffentlich ihre Unterstützung für Russland erklärte, geleakt wurden, boten einen ungewöhnlich klaren Einblick in die Funktionsweise dieser Organisationen. Die Chats zeigten Personalstreitigkeiten. Gehaltsverhandlungen. Technische Aufträge für Neueinstellungen. Diskussionen über Arbeitsbedingungen und Mitarbeiterbindung. Ein überlastetes Management-Team, das sich auf Produktivitätskennzahlen, die Rekrutierung und Verwaltung von Affiliates sowie die Business-Continuity-Planung konzentrierte. Die Conti-Betreiber führten ein Softwareunternehmen – eines, dessen Output Krankenhäuser und Kommunen pulverisierte, bei dem der interne Arbeitsalltag jedoch so sehr dem jedes anderen Softwareunternehmens glich, dass die Admin-E-Mails genauso gut aus dem Slack-Kanal irgendeines Startups hätten stammen können. Es ist ein Detail, das bisher unzureichend berücksichtigt wurde. Das sollte die Menschen mehr beunruhigen, als es der Fall ist.

Was das Opfer entscheidet

Im Mai 2021 zahlte Joseph Blount 4,4 Millionen Dollar in Bitcoin an die Ransomware-Bande DarkSide. Später sagte er vor dem Senat über diese Entscheidung aus. Er gab an, die Zahlung gene Es war der Preis – um sich zumindest selbst sagen zu können, dass man es versucht hat.

Ransomware-Betreiber müssen dies jedoch verkaufen. Die Entschlüsselungsmöglichkeiten sind das nominelle Produkt. Es ist die Befreiung von einer unkontrollierbaren Art von Druck: dass die Folgen einer laufenden Katastrophe nun von einer Entscheidung abhängen, die man in diesem Moment trifft – bei maximaler Ungewissheit, auf Basis begrenzter Informationen und unter den Augen von Aktionären, Regulierungsbehörden und Reportern. Selbst für Organisationen, die theoretisch eine Wiederherstellung aus Backups durchführen könnten, erweist sich der Preis für diese Erleichterung als überraschend hoch. Denn der Wiederaufbau dauert Wochen. Der Druck herrscht jedoch jetzt.

Dem FBI gelang es, etwa 2,3 Millionen Dollar der Colonial-Zahlung sicherzustellen, indem es den privaten Schlüssel beschlagnahmte, der mit der Wallet verknüpft war, in der DarkSide die Gelder geparkt hatte – eine Wiedererlangung, die anhand von Praxisbeispielen verdeutlichte, dass Bitcoin-Pseudonymität nicht gleichbedeutend mit Bitcoin-Anonymität ist. Es zeigte auch etwas Beunruhigenderes: Nachdem die Zahlung geleistet worden war, fühlte sich Blount kurzzeitig besser – keine rationale Reaktion auf die Situation, aber eine sehr menschliche. Auch wenn sie unbegründet war, ist die Erleichterung real.

Die Opfer, die eine Zahlung verweigern, leiden unter einer anderen Variante derselben Psychologie. Sie treffen eine wohlüberlegte Entscheidung, nur um in den folgenden Wochen festzustellen, dass (1) dies viel teurer ist als erwartet; (2) ihre Backup- und Redundanzpläne bei weitem nicht so robust waren, wie sie glaubten; (3) die Schätzung des Incident-Response-Unternehmens, das verschiedene Schadensbegrenzungsmaßnahmen durchführte, übermäßig optimistisch war; und schließlich kommt irgendwann eine unangenehme Wahrheit ans Licht, die die Art und Weise, wie Kunden, Mitarbeiter und Regulierungsbehörden sie bewerten, für immer verändert. Das Prinzip bleibt bestehen. Der Preis ist höher als der geplante Betrag.

Die meisten sagen im Nachhinein, sie würden alles wieder genauso machen – was Menschen eben sagen, wenn sie sich selbst davon überzeugen müssen, dass sie es täten.

Das Modell der doppelten Erpressung (Double Extortion), das sich bis Anfang der 2020er Jahre als Standard etablierte – Datenexfiltration vor der Verschlüsselung und der Austausch des bloßen Zugriffsverlusts gegen das Druckmittel der öffentlichen Bloßstellung –, war kein technischer Fortschritt. Es war ein psychologischer. Dies ist ein Angriffsvektor, der mit Backups bekämpft werden kann. Das Risiko der Veröffentlichung von Patientenakten, Gehaltsdaten von Mitarbeitern, vertraglichen Vereinbarungen mit Lieferanten oder E-Mails der Geschäftsführung lässt sich durch keinerlei technische Kontrollen mindern. Es zielt auf etwas anderes ab: nicht auf die Betriebskontinuität, sondern auf die Reputation, die Privatsphäre und das Vertrauen, das von beidem abhängt. Die Angreifer kannten ihr Produkt besser als ihre Opfer.

Geografie der Straflosigkeit

LockBit wurde von Betreibern geführt, die den Strafverfolgungsbehörden alles andere als unbekannt waren. Im letzten Monat einer massiven, koordinierten internationalen Aktion – unter der Leitung der britischen National Crime Agency – zur Zerschlagung der LockBit-Infrastruktur im Februar Das war kein Patriotismus. Es war ein Compliance-Mechanismus. Die Gruppe steuerte ihre Beziehung zu einer Regierung, die den Fortgang der Operationen unter der Bedingung zuließ, dass sie innerhalb der geografischen Grenzen blieben, die sie für akzeptabel hielt.

Die Implikation daraus ist eindeutig: Die Architekten, die in Washington, Brüssel und London politische Antworten auf Ransomware entwerfen, reagieren damit auf eine Branche, deren Hintermänner fast immer außer Reichweite sind. Das alles ergibt nur zu viel Sinn: Die Verhaftungen, die tatsächlich stattfinden – einige abtrünnige Affiliates in Polen, einige REvil-Mitglieder, die in Russland während einer Phase ungewöhnlich herzlicher Beziehungen Anfang 2022 festgenommen wurden, der gelegentliche amerikanische oder europäische Akteur, der sein lokales Risiko falsch einschätzt – sind Ausreißer am Rande des größeren Ökosystems. Dort, wo der Kern liegt (und schon immer lag).

Diese Geografie der Verantwortlichkeit bestimmt alles Weitere in der politischen Debatte. Wenn die zur Verfügung stehende Reaktion nicht den Zugriff auf die Verantwortlichen beinhaltet, definiert man neu, was als Reaktion gilt. Washington reagiert mit einem Instrument namens regulatorische Kryptowährung.

Es ist einfacher, die Schuld dem Zahlungsweg zuzuschieben.

Der Moment der Gesetzgeber

Diese Art von Kongressanhörung, die unweigerlich im Gefolge eines schweren Ransomware-Angriffs auf einen Teil der kritischen Infrastruktur stattfindet. Der betroffene CEO sagt aus. Er wird dann fortwährend dazu befragt, warum er das Lösegeld gezahlt hat. Er sagt, es sei ihm so geraten worden. Und er wird gefragt, warum er keine besseren Backups hatte. Er kann erklären, dass seine Backup-Systeme nur teilweise beschädigt waren oder dass ihre Wiederherstellung angesichts des Zeitdrucks nicht praktikabel war. Dann wird er zur Kryptowährung befragt. Er sagt etwas bewusst Mehrdeutiges, um keinen Ärger mit den Anwälten zu bekommen.

Es wäre undenkbar anzunehmen, dass die Gesetzgeber, die diese Fragen stellen, uninformiert sind. Sie erhalten ausführliche Briefings. Was sie tun, unterscheidet sich von einer reinen Faktenermittlung: Sie konstruieren eine Geschichte, nach der das Problem eine identifizierbare, erklärbare Ursache hat, die für ihre Wähler verständlich ist – und dass das, was sie auf gesetzgeberischer Ebene als Reaktion auf diese Ursache vorschlagen, als aktives Vorgehen gegen Ransomware gilt.

Im Kontext der Gesetzgebung ist Kryptowährung ein lösbares Problem. Es handelt sich um eine Branche innerhalb ihres Zuständigkeitsbereichs, mit Lobbyisten, mit denen sie sich auseinandersetzen können, mit regulatorischen Anforderungen, die sie ausweiten können, und mit greifbaren Kennzahlen regulatorischer Aktivität, die in einen Newsletter einfließen.

Die Art von sichtbaren Ergebnissen, die man durch den direkten Angriff auf Hacker mittels Krieg oder Cyberkrieg erzielt, lässt sich nicht erreichen, wenn man die eigentlichen Hintermänner über Außenpolitik, geheimdienstliche Zusammenarbeit und extraterritorialen rechtlichen Druck verfolgt.

Seit Jahren argumentiert die Kryptowährungsbranche, dass ein hartes Vorgehen gegen Krypto Ransomware nicht stoppen wird – weil Ransomware bereits vor Bitcoin existierte, weil die Betreiber einfach andere Zahlungskanäle nutzen würden und weil die eigentlichen Kriminellen in Ländern leben, die keine Rücksicht auf US-amerikanische Finanzregulierung nehmen. Dieses Argument ist korrekt. Und da „Recht haben“ in einem politischen Kontext – wo Wirksamkeit am wichtigsten ist – nicht dasselbe ist wie „wirksam sein“, blieb es in seiner Wirkungslosigkeit bestehen. Es geht darum, etwas bereitzustellen, das die anwesenden Personen nutzen können.

Das Verhalten von BlackCat im Zusammenhang mit Change Healthcare im Februar 2024 verdeutlichte ein völlig anderes Problem, für das regulatorische Rahmenbedingungen überhaupt nicht ausgelegt sind. BlackCat erhielt rund 22 Millionen US-Dollar von der Muttergesellschaft von Change Healthcare. Schließlich beging BlackCat einen Exit-Scam: Der Betreiber machte sich mit dem Geld aus dem Staub und schaltete die Infrastruktur ab, wodurch sein eigener Affiliate leer ausging. Der darüber frustrierte Affiliate begann damit, die Veröffentlichung der gestohlenen Daten dennoch anzudrohen. Die Ransomware-Betreiber haben ihre eigenen kriminellen Rädchen betrogen. Für diese spezifische Ebene des Problems gibt es also keinen geeigneten Rahmen innerhalb der politischen Debatte selbst.

Was die Nutzer mit sich führen

Die einfachen Menschen, die Kryptowährungen für Anwendungsfälle halten – Stablecoin-Transfers, DeFi-Positionen, Rücküberweisungen und das tägliche Geschäft – verleihen der Ransomware-Debatte eine besondere Note, die bisher kaum untersucht wurde. Sie sind diejenigen, die letztlich für regulatorische Reaktionen auf Verbrechen bezahlen, die sie nicht begangen haben und aus denen sie keinen Nutzen ziehen.

Dies erzeugt eine Art unterschwellige Defensivhaltung in Krypto-Communities, die immer dann deutlich wird, wenn Ransomware in die Schlagzeilen gerät. Eine Person, die USDT für eine rechtmäßige geschäftliche Transaktion sendet, findet sich plötzlich neben einer kriminellen Organisation wieder, mit der sie keinerlei Verbindung hat. Das Team, das ein Protokoll herausgibt, erklärt der Welt einmal mehr, warum Smart Contracts nicht dafür verantwortlich sind, wie sie in Lösegeld-Transaktionen verwendet werden. Aufgrund dessen, was anderswo in einem anderen Land von anderen Personen über völlig andere Transaktionsflüsse getan wird, wird die End-to-End-Erfahrung bei der Nutzung von Kryptowährungen für legitime Zwecke stärker überwacht und unerschwinglich.

Diese Defensivhaltung ist oft kontraproduktiv – sie wirkt nicht aufrichtig, sondern eher zögerlich, und diejenigen, die in der Defensive sind, übertreiben ihre Argumente manchmal so sehr, dass sie förmlich dazu einladen, abgetan zu werden. Doch die Wut, die darunter liegt, ist durchaus real. Man wird dazu gebracht, Frustration darüber zu empfinden, Kosten zu tragen, die durch die Reaktion auf das kriminelle Verhalten anderer entstanden sind. Und natürlich müssen diejenigen, die diese Kosten Der Angriff verursachte tatsächliche Schäden in dreistelliger Millionenhöhe beim NHS, Telefónica, FedEx, der Deutschen Bahn und vielen anderen. Tatsächlich brachte er nur Zehntausende Dollar an echtem Lösegeld ein, da die Betreiber die Kontrolle darüber aufgaben, für wie viele Opfer sie realistischerweise Entschlüsselungsanfragen bearbeiten konnten. Ein zweiundzwanzigjähriger namens Marcus Hutchins legte die Malware lahm, indem er eine zuvor nicht registrierte Domain registrierte, die der Code abfragte. Dabei löste er von seinem Schlafzimmer in Devon aus etwas aus, das wie ein in das Design der Schöpfer eingebauter Kill-Switch wirkte. Das geopolitische Narrativ besagte, dass ein als Waffe eingesetzter NSA-Exploit die globale Infrastruktur im Rahmen eines Konflikts ins Visier genommen hatte, der buchstäblich nichts mit Bitcoin zu tun hatte. Was im öffentlichen Bewusstsein hängen blieb, war: Hacker verlangten Bitcoin.

Warum es weitergeht

Im Jahr 2023 überstiegen die von Chainalysis erfassten Ransomware-Zahlungen eine Milliarde Dollar – das erste aufgezeichnete Jahr, in dem diese Summe diese Schwelle überschritt. Die Zahlungen gingen im Jahr 2024 um etwa 35 Prozent zurück, was zum Teil auf Maßnahmen der Strafverfolgungsbehörden gegen die größten Gruppen und zum Teil darauf zurückzuführen war, dass die Opfer klüger darin geworden waren, Nein zu sagen. Keine dieser Entwicklungen deutete darauf hin, dass die zugrunde liegenden Bedingungen gelöst wurden.

LockBit wurde zerschlagen, seine Infrastruktur beschlagnahmt, sein Administrator benannt und sanktioniert – und war dennoch Tage später wieder im Teilbetrieb. Über sechs Monate lang, ab Mitte 2022, infiltrierte das FBI Hive und händigte den Opfern heimlich kostenlose Entschlüsselungsschlüssel aus, während der Betrieb bis Januar dieses Jahres weiterlief, als die Behörden Teile der Infrastruktur beschlagnahmten. Zum Zeitpunkt der Massenausnutzung von MOVEit Transfer im Jahr 2023 war Cl0p vollständig zur unverschlüsselten Datenexfiltration übergegangen – Ransomware ohne Verschlüsselung, keine zu entschlüsselnden Dateien, sondern lediglich das Eindringen in fremde Netzwerke, der Diebstahl von Daten und eine Grundlage für kriminelle Handlungen gegen die Betroffenen.

Die Branche passt sich schneller an, als die politische Reaktion erfolgt – Sicherheitsunternehmen haben direkte Anreize zur Anpassung, während die Bewertungspolitik andere Anreize verfolgt.

Offline-geprüfte Backups, Multi-Faktor-Authentifizierung, gepatchte Systeme, Netzwerksegmentierung und Endpoint Detection sind allesamt mühsame, aber schlichtweg unglamouröse Bestandteile der weitaus bekannteren Sicherheitsinfrastruktur, die tatsächlich zu einer geringeren Häufigkeit von Angriffen führen würden. Das verhindert nicht die Existenz von Ransomware-Betreibern. Sie erhöhen die Kosten jedes Angriffs in einem Maße, dass viele Opfer überleben, ohne zu zahlen. Sie erfordern kontinuierliche organisatorische Disziplin und eine unbefristete Finanzierungszusage – was schwieriger zu vermitteln ist als ein regulatorischer Schritt, der die Dinge vor laufenden Kameras in Gang bringt, ohne dass jemand für etwas bezahlen muss, das im laufenden Betrieb keinen messbaren Output erzeugt.

Ein Verbot von Kryptowährungen sichert keine Krankenhäuser, die ungepatchte Software in flachen Netzwerken betreiben. Der Zahlungsmechanismus ist nur ein Teil eines Systems, in dem mehrere strukturelle Risse zusammenkamen, um dieses Ergebnis zu erzielen. Je einfacher es ist, diese anderen Schwachstellen anzugehen, desto mehr Aufmerksamkeit erhalten sie.

Für alle, die Stablecoins im TRON-Netzwerk nutzen – aus Gründen, die nichts mit dem Vorherigen zu tun haben – konsolidiert Netts.io Live-Preise für Energie von mittelgroßen Anbietern wie JustLend, Trongas, Catfee, Sohu, APITRX sowie einem durchschnittlichen gepoolten privaten Anbieter, um jeden erforderlichen Transaktionsbetrag in Echtzeit zum niedrigsten verfügbaren TRON-Energiepreis zu finden und zu versenden: aktuell bereits ab 25 Sun pro Energieeinheit – etwa 75 % günstiger als die standardmäßige TRX-Burn-Rate, mit sofortiger Delegation von Transaktionen und ohne die Notwendigkeit, TRX zu staken oder einzufrieren (freeze). Der Zugriff ist über einen einfachen Telegram-Bot ohne Web-Interface möglich.

Ob der Nutzungskontext einer bestimmten Transaktion etwas mit Ransomware zu tun hat oder nicht, ist keine Frage, die der Energiemarkt beantworten kann. Zumindest befasst er sich direkt mit den Kosten der Transaktion.