Dafür entwickelte die Gruppe Verschlüsselungstools für Windows-, Linux- und ESXi-Umgebungen. Die cyberkriminelle Gruppe ist nicht mit den gleichnamigen malaiischen Hacktivisten zu verwechseln, die seit 2021 im Mittleren Osten ausgesuchte Ziele angriffen. DragonForce scheint offenbar rein wirtschaftliche und keine politischen Ziele zu verfolgen.
Ein wichtiger Unterschied zu anderen Ransomware-as-a-Service-Anbietern ist der kartellhafte Markt- und Machtanspruch der Gruppe:
Kriminelle Infrastruktur
Einerseits lassen die Hintermänner ihren Partnern 80 Prozent ihres Gewinnes. Andererseits liefern sie ihnen aber auch die notwendige Infrastruktur, um die Online-Präsenz der Angreifer zu verwalten und Verschlüsselungssoftware zu verbreiten.
Gesamtpaket an Ressourcen
Zudem stellt DragonForce automatisierte Abläufe, einen Blog, File-Server, Panel-Dashboards für Administratoren und Kunden, ein 24/7-Monitoring, Speicherplatz im Petabyte-Bereich, eine Kerberos-Verschlüsselung sowie andere Vorteile bereit.
Faustpfände eines Service Providers
Indem sie diese Infrastruktur bereitstellen, kontrolliert DragonForce die Ressourcen der Verbündeten und Partner. Als RaaS-Anbieter können sie so aber auch ihre Serviceangebote für andere Kriminelle zum Beispiel bei Interessekonflikten beenden.
Einfluss, Macht und Anteile
DragonForce verlangt von seinen Partnern nur 20 Prozent der erzielten Ransomware-Einnahmen, um die Strukturen zu nutzen. Offensichtlich geht es der Gruppe weniger um Profite, als vielmehr um Einfluss, Macht und Anteile am kriminellen Markt. Indem sie durch den Faustpfand Infrastruktur Konkurrenz und damit einhergehende Konflikte eliminieren, stellen sie sicher, dass ihre kriminellen Abläufe auch bei den häufigen Abspaltungen in der Szene weiter funktionieren.
DragonForce-Ransomware verfügt zudem über verschiedene Möglichkeiten, um Angriffe zu starten und durchzuführen:
Beim Erstzugriff auf das Opfernetz nutzen die Akteure offengelegte Zugangsdaten und verschiedene bekannte Schwachstellen, darunter CVE-2024-21412, CVE-2024-21887 und CVE-2024-21893. Um Attacken auszuführen, nutzen die Kriminellen unterschiedliche Methoden wie Windows Command Shell oder DLL-Hijacking. Für den persistenten Zugriff nutzen die Angreifer Living-Off-The-Land-Techniken und ausführbare Dateien wie Schtasks.exe und Taskkill.exe. Die Gruppe kann für ihre Attacken Aufgaben planen, bösartigen Payload einführen, Systemkonfigurationen und andere Daten verändern sowie aktive Tasks beenden. Die Gruppe verändert auch die Einstellungen zum Energieverbrauch, damit Systeme nicht selbsttätig ihren Energiestatus verändern oder neu booten. Ransomware-Funktionen können Dateien löschen, deren Zeitstempel verändern und Sicherheitstools modifizieren. Die erpresserischen Angriffe erkennen auch Umgebungen für Analyse und Debugging – womit sie einem Erkennen durch eine Abwehrsoftware zuvorkommen.Command-and-Control erfolgt über FTP-Protokolle, Certuitl.exe oder PowerShell-Befehle.
Eine ausführliche Analyse der DragonForce-Tools und Aktivitäten gibt es unter: https://www.bitdefender.com/en-us/blog/businessinsights/dragonforce-ransomware-cartel.
Kommentare