House zufolge haben Strafverfolgungsbehörden in den vergangenen Jahren zwar erfolgreiche Aktionen und Abschaltungen durchgeführt, diese aber meist nur vorübergehend gewirkt. Bedrohungsakteure hätten anschließend neue Netzwerke und Infrastrukturen aufgebaut. Zudem seien Franchise-Modelle bewusst so gestaltet, dass Betreiber austauschbar bleiben.
Wie House erklärte, organisieren Angreifer ihre Operationen inzwischen mit Franchises, Arbeitsteilung, Personalabteilungen und Support-Kanälen über Telegram. Dem stehe auf Behördenseite weiterhin ein klassisches Muster gegenüber: untersuchen, zuordnen, anklagen und auf die Wirkung der Zuschreibung hoffen. „Wir verteidigen uns gegen eine Bedrohung, die sich fortlaufend neu erzeugt“, sagte sie.
Als Gegenmittel empfahl House eine koordinierte nationale Strategie zur Zerschlagung cyberkrimineller Operationen. Sie zeigte zudem, wie militärische Rahmenwerke aus ihrer Zeit in der US Army und als Nachrichtendienstoffizier die Reaktion unterstützen könnten. Besonders wichtig sei es, mehrere Organisationen gleichzeitig gegen die wertvollsten Netzwerke einzusetzen. Dieses Konzept aus der Anti-Ransomware-Koordination könne auf Cyberkriminalität insgesamt übertragen werden. Den Aktionsplan der neuen Executive Order solle man dafür nutzen, sagte House.
Im März veröffentlichte die Trump-Regierung laut House die Executive Order „Bekämpfung von Cyberkriminalität, Betrug und räuberischen Machenschaften gegen amerikanische Bürger“. Zwar erkenne sie staatliche Unterstützung an und setze den richtigen Rahmen, House sieht aber Lücken und rief alle auf, die mit Behörden arbeiten oder mit ihnen zu tun haben, Verbesserungen einzubringen.
Zugleich kritisierte sie Rückschritte bei bestehenden Maßnahmen. „Die Trump-Regierung hat alle Maßnahmen zurückgenommen, die wir zur Bekämpfung von Betrug eingeführt hatten“, sagte House. Zuvor hatte sie unter anderem als Sonderberaterin für Cybersicherheit und Politik zum Schutz kritischer Infrastruktur im Nationalen Sicherheitsrat des Weißen Hauses gearbeitet.
Nach ihrer Einschätzung sollte sich Strafverfolgung stärker an prioritären Netzwerken orientieren und Maßnahmen anhand eines Vorfalls, seiner Auswirkungen und der beteiligten Akteure über verschiedene Ökosysteme hinweg organisieren. Dabei verwies sie auch auf Schutzräume in Jurisdiktionen, die Bedrohungsakteure absichern. Als Hindernis nannte sie den Informationsaustausch: Wenn Behörden ihre Prioritätenlisten nicht teilen, optimierten sie stattdessen für eigene Kennzahlen.
Jamie Levy, Senior Director of Adversary Tactics bei Huntress, teilte gegenüber Dark Reading die Einschätzung, dass die Wirksamkeit von Abschaltungen gegen Ransomware nachgelassen habe. Früher habe das Abschalten eines Netzwerks zumindest eine Lücke erzeugt, auch wenn andere Gruppen diese später füllten. Mit KI, „Vibe Coding“ und anderen fortgeschrittenen Werkzeugen könnten Bedrohungsakteure heute jedoch Infrastruktur praktisch sofort neu aufsetzen.
Levy forderte deshalb ein langfristigeres Denken und mehr Zusammenarbeit in der Sicherheitsbranche. Laut ihr gibt es bereits entsprechende Ansätze: Huntress pflegt Beziehungen zu verschiedenen Unternehmen, und Forscher tauschen sich in Slack-Kanälen über Bedrohungsinformationen aus. Wenn etwa feststehe, dass die Software eines anderen Unternehmens in einer Kampagne missbraucht werde, könne man dieses warnen. Für Levy ist das „der einzige Weg nach vorn“.