Wie aktiv der Markt ist, zeigt eine Auswertung von Flashpoint zu Rekrutierungstrends im Dark Web: Über 75 Prozent der einzelnen Beiträge von Bedrohungsakteuren stammten demnach von Insidern, die ihren Zugang Dritten anboten. Das deute auf ein „hochgradig motiviertes Bedrohungsumfeld hin, in dem verärgerte Beschäftigte Käufer für Unternehmensdaten und Netzwerkzugänge suchen", heißt es im Blogbeitrag.
Dass der klassische verärgerte Mitarbeiter weiterhin eine Rolle spielt, belegt ein älterer Fall: 2020 verurteilte die US-Staatsanwaltschaft für den Northern District of Georgia Christopher Dobbins zu einer Haftstrafe, weil er seinen früheren Arbeitgeber, ein Unternehmen für medizinische Verpackungen, gehackt und dessen elektronische Versandunterlagen sabotiert hatte. Der Schaden lag laut Pressemitteilung bei über 200.000 US-Dollar, zudem verzögerte sich die Auslieferung von Schutzausrüstung während der COVID-19-Pandemie.
Justin Miller, ehemaliger Senior Special Agent des US Secret Service und heute Associate Professor of Practice für Cyber Studies an der University of Tulsa, schildert einen Fall, in dem ein IT-Direktor um 8 Uhr entlassen wurde, seine Schicht aber zu Ende bringen sollte. Niemand nahm ihm Schlüssel oder Zugangsdaten ab — um 2 Uhr nachts kehrte er zurück und setzte Schadsoftware ein, die das Firmensystem lahmlegte. „Man sollte sich nicht mit dem Mann anlegen, der für das Netzwerk zuständig ist", sagt Miller.
Jamie Levy, Senior Director für Adversary Tactics bei Huntress, beobachtet Fälle, in denen Ransomware-Akteure eingeschleuste Personen nutzen oder Beschäftigten schlicht Geld für Zugang bieten. Als Beispiel nennt sie Scattered Spider: Die Gruppe bestach Mitarbeiter von Telekommunikationsanbietern, um SIM-Swapping-Angriffe zu ermöglichen.
Shelley Ma, Incident-Response-Leiterin bei Coalition, berichtet von einem kürzlich untersuchten Fall, in dem ein Beschäftigter Gelder von Geschädigten auf sein eigenes Konto abzweigte. Echte böswillige Insider sieht sie etwa alle zwei Jahre. Kunden fragen nach Ransomware-Angriffen dennoch regelmäßig, ob jemand von innen beteiligt war, sagt Leaann Nicolo, Director of Incident Response bei Coalition — ausschließen lasse sich das nie, auch wenn kompromittierte Zugangsdaten oder ungepatchte Systeme wahrscheinlicher seien.
Wie direkt Ransomware-Gruppen vorgehen, erlebte BBC-World-Service-Korrespondent Joe Tidy: Ein mutmaßliches Mitglied der Medusa-Gruppe bot ihm 25 Prozent einer Lösegeldzahlung für Zugang zu seinem Rechner. Tidy ging zum Schein darauf ein und stellte fest, dass die Täter „die Schlüssel zum Königreich meines Konzerns heimlich gegen eine üppige Auszahlung" kaufen wollten. Laut NCC-Group-Forschung behandeln Ransomware-as-a-Service-Gruppen zunehmend Beschäftigte, Auftragnehmer und vertrauenswürdige Partner als Zugangswege, erläutert Tim Rawlins, Senior Adviser und Director of Security. „Insider-gestützte Ransomware ist real, aber noch nicht der dominierende Weg in Organisationen", sagt er.
Satnam Narang, Senior Staff Research Engineer bei Tenable, verweist auf LockBit 2.0: Die Gruppe platzierte Anwerbetexte in Erpresserschreiben und auf Hintergrundbildern infizierter Rechner und suchte Insider mit Zugangsdaten für VPNs, Remote-Desktop-Protokolle und E-Mail. Tammy Harper, Dark-Web-Ermittlerin bei Flare, sieht die Anwerbung vor allem bei umsatzstarken europäischen, US-amerikanischen und kanadischen Zielen. „Ich habe Insider gesehen, die angaben, bis zu 15.000 Dollar für ein gutes Asset zu bekommen", sagt sie. Als Treiber nennt sie neben besserer Abwehr auch Entlassungswellen, die Lücken beim Offboarding hinterlassen.
Levy empfiehlt, Zugänge noch in derselben Stunde über Single Sign-on, VPN, SaaS, Code-Repositories und Cloud-Konsolen zu entziehen — samt Sitzungstoken und App-Berechtigungen, nicht nur Passwörtern. Nicht genehmigten Fernzugriff solle man als kritischen Befund behandeln: Der Missbrauch von Remote-Monitoring-und-Management-Werkzeugen sei im Jahresvergleich um 277 Prozent gestiegen. Besonders zu schützen seien Backups, Hypervisoren und EDR-Konsolen mit getrennten Zugangsdaten, Freigaben und MFA — ein Insider mit Hypervisor-Zugang könne von einem Host aus Hunderte virtuelle Maschinen verschlüsseln.
Rawlins plädiert für ein Programm, das Cybersicherheit, Personalsicherheit, HR, Einkauf und Lieferantenprüfung verbindet, ergänzt um Least-Privilege, Privileged Access Management, Funktionstrennung, zeitlich begrenzte Lieferantenzugänge und regelmäßige Rezertifizierung. Levy warnt, Insider-Programme scheiterten, wenn sie wie Überwachung wirkten: „Machen Sie transparent, was überwacht wird und warum. Machen Sie es denkbar einfach, einen Fehler zu melden. Der fahrlässige Insider, der es Ihnen in der ersten Stunde sagt, ist ein kleiner Vorfall; wer es eine Woche verschweigt, ist ein Ransomware-Fall."