bk99.de entertain the web since 1997

bk99.de
KrebsOnSecurity · SicherheitKuratiert

BlackCat: Lösegeld kauft kein Vertrauen

Zusammenfassung

Brian Krebs berichtet über Hinweise, dass Change Healthcare der Ransomware-Gruppe BlackCat rund 22 Millionen US-Dollar gezahlt hat, während der Angriff in den USA die Abgabe verschreibungspflichtiger Medikamente störte. Ein Partner der Gruppe beklagte öffentlich, um den eigenen Anteil betrogen worden zu sein, und behauptete, die gestohlenen Daten weiterhin zu besitzen. BlackCat stellte daraufhin den Betrieb ein und zeigte eine offenbar kopierte Beschlagnahmemeldung des FBI.

Wie Ransomware-as-a-Service Geld verteilt

BlackCat stellte Software und Infrastruktur, sogenannte Affiliates brachen in Netze ein und erhielten 60 bis 90 Prozent des Lösegelds. Nach der Infiltration durch FBI und Partnerbehörden im Dezember 2023 erhöhte BlackCat den Anteil auf bis zu 90 Prozent und hob die Zurückhaltung gegenüber Krankenhäusern ausdrücklich auf.

Der Affiliate Notchy meldete im Forum RAMP, BlackCat habe das eigene Konto nach der Zahlung gesperrt. Fabian Wosar von Emsisoft wertete das Ende als Exit-Scam, also als Betrug an den eigenen Partnern: Am Quelltext der neuen Beschlagnahmemeldung sei das offensichtlich.

Was später bekannt wurde

Wenige Wochen zuvor hatte die britische National Crime Agency nach der Übernahme von LockBit berichtet, die Gruppe habe Daten trotz Zahlung nicht gelöscht. Change Healthcare meldete der US-Gesundheitsbehörde HHS im Januar 2025 rund 190 Millionen Betroffene, im Juli 2025 rund 192,7 Millionen.

Ideen

  • Ransomware-as-a-Service trennt Plattformbetreiber von den eigentlichen Eindringlingen.
  • Affiliates erhalten 60 bis 90 Prozent eines gezahlten Lösegelds.
  • Ein Streit unter Kriminellen kann gestohlene Daten trotz Zahlung erneut gefährlich machen.
  • Eine kopierte Beschlagnahmemeldung kann einen Exit-Scam tarnen.
  • Entschlüsselung und versprochene Datenlöschung sind zwei getrennte Versprechen.
  • Ein zentraler Dienstleister macht einen IT-Ausfall zur landesweiten Versorgungsstörung.

Einsichten

  • Kriminelle Dienstleistungsmodelle leiden an denselben Vertrauensproblemen, die sie ausnutzen.
  • Lösegeld verschiebt Risiko, kann aber weder Kopien noch spätere Forderungen kontrollieren.
  • Konzentration steigert Effizienz und zugleich den gesellschaftlichen Ausfallschaden.

Zitate

  • You cannot trust criminals; their word is worth nothing. (Dmitry Smilyanets)

Fakten

  • Am 1. März 2024 ging an eine BlackCat zugeordnete Kryptoadresse eine Einzelzahlung von rund 22 Millionen US-Dollar.
  • Notchy behauptete, vier Terabyte Daten zu besitzen, auch von Medicare sowie Versicherungs- und Apothekennetzen.
  • FBI und Partnerbehörden hatten BlackCat im Dezember 2023 infiltriert und ein Entschlüsselungswerkzeug veröffentlicht.
  • Change Healthcare meldete der HHS im Juli 2025 rund 192,7 Millionen betroffene Personen.

Referenzen

Bemerkungen

  • Change Healthcare bestätigte die Zahlung beim Erscheinen nicht; der Titel spricht deshalb von „apparent“.
  • Das volle Ausmaß wurde erst durch die Meldungen an die HHS ab 2025 sichtbar.

Empfehlungen

  • Plane Wiederanlauf und Kommunikation unabhängig von Lösegeldverhandlungen.
  • Behandle abgeflossene Daten auch nach einer Zahlung als kompromittiert.
  • Halte für zentrale Dienstleister getestete manuelle Notverfahren bereit.

Originalbeitrag lesen

Im Webarchiv suchen

KrebsOnSecurity · 2025

6,3 Tbit/s: Was nach Mirai kam

Brian Krebs berichtet über einen etwa 45 Sekunden langen Angriff mit mehr als 6,3 Tbit/s auf KrebsOnSecurity, den Google Project Shield abwehrte. Google ordnete ihn dem IoT-Botnetz Aisuru zu, dessen Zugang offen über Telegram vermietet wurde. Die Spur führt zu der Person hinter dem Pseudonym Forky, die nach eigenen Angaben in Brasilien lebt, an Aisuru mitgearbeitet hat und eine Beteiligung am Angriff bestreitet.

KrebsOnSecurity · 2020

SolarWinds: Vertrauenswürdige Updates als Einfallstor

Brian Krebs fasst wenige Tage nach Bekanntwerden zusammen, was über den Einbruch bei SolarWinds bekannt war: Angreifer hatten Schadcode in Updates der Netzwerküberwachung Orion eingeschleust. Laut Börsenmeldung waren rund 33.000 der mehr als 300.000 Kunden Orion-Nutzer, und weniger als 18.000 hatten möglicherweise eine verseuchte Version installiert. Microsoft hatte die zentrale Steuerdomain des Schadcodes übernommen und dürfte damit sehen können, welche Systeme sich noch melden.

KrebsOnSecurity · 2017

Wer war Anna-Senpai? Die Spur hinter Mirai

Brian Krebs legt im bis dahin längsten Beitrag des Blogs offen, wie sich der Mirai-Autor Anna-Senpai über Forenprofile, Chats, Quellcode und Geschäftsbeziehungen mit Paras Jha in Verbindung bringen ließ. Die Spur führt durch einen Markt, in dem dieselben jungen Leute DDoS-Schutz für Minecraft-Server verkauften und zugleich mit Botnetzen angriffen. Im Dezember 2017 bekannten sich Paras Jha, Josiah White und Dalton Norman vor einem US-Bundesgericht schuldig.