Conti-Ransomware — Die korporative Ransomware-Bande

Was ist diese Bedrohung?

Conti war eine der produktivsten und schädlichsten Ransomware-Gruppen der Geschichte, die von etwa 2020 bis 2022 als Ransomware-as-a-Service (RaaS)-Unternehmen operierte. Wie ein Franchise vergab Contis Kernteam seinen Ransomware-Code an Affiliate-Hacker, die Angriffe durchführten und 70 % des Lösegeldes behielten, während Conti 30 % einnahm.

Conti war Vorreiter der doppelten Erpressung: Nicht nur wurden die Dateien der Opfer verschlüsselt, sondern auch sensible Daten exfiltriert und mit Veröffentlichung auf einer öffentlichen Leak-Website gedroht, falls das Lösegeld nicht gezahlt würde.

So operierte es

Erster Zugang:

Phishing-E-Mails mit bösartigen Anhängen (oft TrickBot oder BazarLoader als Ersteinschleusung)

Ausnutzung ungepatchter VPN-Sicherheitslücken (Fortinet, Citrix)

Kauf von Zugängen über Dark-Web-Marktplätze

Laterale Bewegung:

Cobalt Strike zum Netzwerkdurchzug

Tage oder Wochen im Netzwerk verbracht, um Backup-Systeme zu identifizieren und Daten zu stehlen, bevor Ransomware ausgerollt wurde

Backup-Server wurden zuerst gezielt angegriffen und zerstört

Das Lösegeld:

Typische Forderungen: 1 Million bis 25 Millionen Dollar

Opfer, die zahlten, erhielten ein Entschlüsselungstool; Weigerungen führten zur Veröffentlichung auf der Leak-Site

Reale Auswirkungen

Irlands Health Service Executive (HSE), Mai 2021: Contis verheerendster Angriff. Irlands gesamtes nationales Gesundheits-IT-System wurde abgeschaltet. Krankenhäuser kehrten zu Papierakten zurück. Krebsvorsorgen, Radiologie und Ambulanzen im ganzen Land ausgesetzt. Wiederherstellung dauerte Wochen und kostete geschätzte 100 Millionen Euro. Die irische Regierung weigerte sich, das Lösegeld zu zahlen.

Costa-Rica-Regierung, April–Mai 2022: Conti griff 27 Regierungsbehörden gleichzeitig an. Präsident Rodrigo Chaves rief den nationalen Notstand aus — das erste Mal in der Geschichte, dass eine Regierung allein wegen eines Ransomware-Angriffs den Ausnahmezustand erklärte. Conti forderte 20 Millionen Dollar.

Waikato District Health Board (Neuseeland), Mai 2021: Patientendaten, darunter Operationsberichte, wurden nach Verweigerung der Zahlung veröffentlicht.

Über 1.000 Organisationen in den USA, Großbritannien, Europa und weltweit angegriffen. Das FBI schätzte die Schäden allein für US-Opfer auf über 150 Millionen Dollar.

Die Conti-Leaks (Februar–März 2022):

Nachdem Conti öffentlich Russland nach dem Einmarsch in die Ukraine unterstützte, leckte ein anonymer ukrainischer Forscher über 170.000 interne Chat-Nachrichten und den Quellcode. Die Enthüllungen zeigten, dass Conti wie ein modernes Tech-Unternehmen operierte: HR-Abteilungen, Leistungsbeurteilungen, Gehaltsstrukturen (Entwickler verdienten 1.500–2.000 $/Monat). Dies zerstörte die Gruppe Mitte 2022; Mitglieder gründeten Nachfolgegruppen (BlackBasta, Royal, Akira).

Warnsignale für Organisationen

Ungewöhnliche geplante Tasks, neue Admin-Konten oder deaktivierte Sicherheitssoftware über Nacht.

Große Datenmengen, die unerwartet auf externe IPs oder Cloud-Speicher kopiert werden.

Cobalt-Strike-Beacons durch Endpoint-Schutz erkannt.

Dark-Web-Hinweise auf zum Verkauf angebotene Unternehmensanmeldedaten.