Die Ransomware-Bande Revil war äusserst erfolgreich: Den Kriminellen werden unter anderem die spektakulären Angriffe auf den Lebensmittelkonzern JBS Foods und auf den Managed-Service-Provider Kaseya zugeschreiben. Der jährliche Umsatz der Bande soll rund 100 Millionen Dollar betragen haben, das entspräche einem Ransomware-Marktanteil von 16,5%. Dies zumindest schreiben Security-Experten von Bitdefender in einer Analyse.

Die Gruppe erschien laut dem Bericht 2019 als Nachfolger der Malware Gandcrab auf der Bildfläche. Mittlerweile ist sie Geschichte: Im November 2021 wurden in einer von Europol koordinierten Aktion mehrere Beteiligte des umfassenden Revil-Ökosystems verhaftet. Im Januar 2022 folgte dann der nächste Schlag: Russische Strafverfolger nahmen 14 mutmassliche Mitglieder von Revil in Gewahrsam. Schon 2021 soll die Bande weniger als 50 Millionen Dollar eingetrieben haben, wie eine Analyse der Firma Chainalysis zeigt. Zwischen Juli und September war sie offline gegangen, mutmasslich um der Strafverfolgung zu entgehen.

Dominiert wurde der Markt letztes Jahr von Conti. Die Gang hat vom 600-Milliarden-Geschäft rund 180 Millionen Dollar einstreichen können, wie eine Analyse von Chainalysis zeigt. Conti betreibt wie einst Revil ein Ransomware-as-a-Service-Geschäft. Dabei mieten Partner Tools und Services der Kernbande. Dafür bezahlen sie entweder einen fixen Betrag oder beteiligen die Vermieter am Lösegeld. Das macht die Landschaft unübersichtlich, da sich grosse flexible Ökosysteme herausbilden. 2021 sollen etwa 16% des Lösegelds an Anbieter von Tools und Services geflossen sein.

2021 hat Chainalysis rund 140 aktive Ransomware-Stämme ausgemacht, an deren Betreiber Lösegeld überwiesen wurde. Zugleich war die Lebensdauer der jeweiligen Software mit durchschnittlich 60 Tagen so kurz wie noch nie. Die jeweiligen Banden treten nach dem Lebensende oft unter neuem Namen und mit modifizierter Malware auf, um die Strafverfolgung zu erschweren.

Für Revil hat nun Bitdefender eine Analyse vorgelegt: Laut dem Bericht sollen neben 10 Kernmitgliedern bis zu 60 Partner an Aktionen beteiligt gewesen sein. Im Ransomware-as-a-Service-Modell erhielten Letztere demnach bis zu 80% des Lösegelds. Ein grosser Teil des Gewinns soll ins Geschäft reinvestiert worden sein: So wurden hochspezialisierte Informatiker angeworben und die Tools weiter verfeinert.

Revil zeigt einmal mehr eindrücklich, wie professionell das kriminelle Handwerk der Cybererpressung mittlerweile betrieben wird. Laut Bitdefender hat die Bande nicht nur verschiedene IT-Rollen beschäftigt, sondern auch ein Support-Portal für die Opfer betrieben: Dort konnten diese Unterstützung erhalten, um den TOR-Browser benutzen oder Kryptowährung zu erwerben, mit der die Forderungen von Revil zu begleichen war.

Die Kriminellen sahen sich als Geschäftsleute: So garantierten sie ihren Opfern, die sie personalisiert ansprachen, eine 100-prozentige Wiederherstellung ihrer Daten. Wollten diese aber nicht bezahlen, wurde stufenweise eskaliert: Übte die Verschlüsselung der Daten nicht genügend Druck aus, drohten die Angreifer mit Meldung an Datenschutzbehörden, dann veröffentlichten sie geklaute Informationen, schliesslich folgten DDoS-Angriffe auf die Opfer und deren Partner.

Mittlerweile sind auch weitere Manöver dazu gekommen: So erpressen Cyberbanden teilweise Kunden von Opfern mit den Daten aus einem Hack. Angesichts der hohen Dynamik des Systems und der immensen Profite der Banden, ist zu befürchten, dass damit noch längst nicht das Ende der Fahnenstange erreicht ist.