DarkSide betrieb Ransomware wie ein Franchise — gestaffelte Anteile, Affiliates, ein Helpdesk (Interview)

In der NPR-Sendung Fresh Air beschrieb der Investigativreporter der New York Times, Michael Schwirtz, im Juni 2021, was er in den internen Kommunikationen von DarkSide fand — der russischsprachigen Ransomware-Operation, die Colonial Pipeline angriff und in ihrem ersten Jahr seit dem Start im August 2020 mehr als 90 Millionen Dollar einnahm. Die Lösegeldforderung, die die Opfer sahen, begann mit „Welcome to DarkSide“ — förmlich, geschäftsmäßig, mit subtilen Drohungen, nicht an den eigenen Systemen zu manipulieren. Neben der Verschlüsselung von Dateien stahl die Bande proprietäre Daten und drohte, sie öffentlich zu veröffentlichen oder an Konkurrenten und andere Hacker zu verkaufen.

DarkSide war wie ein Franchise aufgebaut. Sie schrieb die Ransomware, lagerte die eigentlichen Einbrüche jedoch an Affiliates aus — andere Hacker, die sich verpflichteten, die Malware gegen eine Gebühr auf einer gleitenden Skala zu nutzen, die an die Höhe des Lösegelds gekoppelt war. Bei einem Lösegeld unter 500.000 Dollar behielt DarkSide etwa 25 %; bei Lösegeldsummen über 5 Millionen Dollar sank ihr Anteil auf etwa 10 %, eine Aufteilung, die als recht großzügig beschrieben wurde. Von der Zahlung von Colonial Pipeline in Höhe von 4,5 Millionen Dollar gingen rund 10 % an DarkSide und der Rest an den Affiliate, der in die Systeme eingedrungen war. Die Bande rekrutierte in Dark-Web-Foren und war eine von Dutzenden Gruppen, die um fähige Affiliates konkurrierten.

Selbst das Erlebnis der Opfer wurde produktisiert. Die meisten Opfer wussten nicht, wie man Bitcoin verwendet, daher betrieb DarkSide einen Helpdesk — mit Chat, wie die Support-Hotline eines Internetanbieters —, um sie durch die Zahlung zu führen. Das Ziel, so Schwirtz, sei gewesen, das Bezahlen so einfach wie möglich zu machen, damit die Opfer das Problem aus der Welt schafften und weitermachten, statt darum zu kämpfen, ihre Daten wiederzuerlangen. Als DarkSide als Angreifer auf Colonial Pipeline identifiziert wurde, stellte sie den Betrieb ein.

Erpressung industrialisieren: die Ransomware an Affiliates lizenzieren, auf Provisionsbasis mit gleitender Skala, und den Opfern einen Helpdesk geben, damit das Bezahlen wie gewöhnlicher Support wirkt.

Die Aufteilung der Rollen ließ Spezialisten sich spezialisieren: Die Malware-Autoren skalierten ein Produkt über Dutzende Affiliates, die rund um die Uhr arbeiteten, um Opfer zu finden.

Die regressive Provision — ein kleinerer Anteil bei größeren Lösegeldsummen — war darauf ausgelegt, die fähigsten Hacker anzuziehen und zu halten.

Ein Helpdesk, der die Zahlung erleichtert, beseitigt Reibung; ein verwirrtes Opfer ist ein unbezahltes Lösegeld.

Daten zu stehlen und zugleich zu verschlüsseln, fügte einen zweiten, öffentlichen Druckkanal jenseits des verlorenen Zugangs hinzu.

Kriminelle Märkte industrialisieren sich auf dieselbe Weise wie legale Software — Franchising, gestaffelte SaaS-Preise, Support-Desks —, und die Kartierung dieser Struktur ist es, wie Ermittler die Bedrohung verstehen.

Nachdem DarkSide als Angreifer auf Colonial Pipeline enttarnt worden war — ein Angriff, der den Gasfluss in den USA störte —, stellte sie den Betrieb ein. Schwirtz berichtete auch über REvil, die Gruppe hinter dem Angriff auf den Fleischverarbeiter JBS, Teil derselben Welle von Ransomware, die Unternehmen, Krankenhäuser, Polizei und Städte traf.