Ransomware gehört derzeit zu den zerstörerischsten Cyberangriffen. Dabei werden Geschäftsabläufe unterbrochen, Behandlungen in Krankenhäusern unmöglich gemacht und ganze Stadtverwaltungen blockiert. Ransomware hat sich mittlerweile zu einer der gefährlichsten Cyberbedrohungen entwickelt. Die USA verzeichneten allein im letzten Jahr mehr als 65.000 Ransomware-Angriffe. Diese Bedrohung ist die größte Sorge von CISOs und zudem zu einer Angelegenheit der nationalen Sicherheit geworden. Besorgniserregend ist auch, dass viele Unternehmen auf einen Ransomware-Angriff ganz und gar nicht vorbereitet sind. Nur 13 % der vom Ponemon Institute befragten IT-Experten gaben an, dass ihr Unternehmen einen Ransomware-Angriff abwehren kann. Außerdem schätzen sich mehr als 68 % als „anfällig“ oder „sehr anfällig“ ein.

Die wichtigsten Vektoren von Ransomware-Angriffen sind E-Mails und das Web. Die meisten Angriffe laufen heutzutage in mehreren Stufen ab, wobei zu Beginn der Angriffskette E-Mails oder kompromittierte Webseiten eine zentrale Rolle spielen. Über sie wird häufig eine Erst-Payload als Malware-Downloader übertragen. Diese Payloads dienen dazu, Zugang zum betroffenen System zu erlangen und anschließend zumeist Anmeldedaten zu stehlen sowie Zugang zum Netzwerk des Anwenders zu erlangen. Die Ransomware-Akteure nutzen die gestohlenen Anmeldedaten auch, um auf Dienste zuzugreifen, die mit dem Internet verbunden sind. Zu den häufig verwendeten Taktiken gehören E-Mails mit Anmeldedaten-Phishing, Brute-Force-Angriffe auf Kennwörter sowie Drive-by-Downloads.

Haben sie einmal den Zugriff auf ein System erlangt, setzen sich die Akteure dort fest, führen Aufklärungsaktionen durch und bewegen sich lateral durch das Netzwerk. Innerhalb des Systems können die Angreifer vertrauliche Dateien nicht nur verschlüsseln, sondern auch exfiltrieren, um die Opfer anschließend doppelt zu erpressen.