Check Point Research (CPR) deelt nieuwe inzichten in de ransomware-economie op basis van een analyse van datalekken van de Conti group en verschillende datasets met betrekking tot ransomwareslachtoffers. Het onderzoek levert meer inzichten op in de processen rondom een ransomware-aanval en de gevolgen daarvan.

De analyse van CPR was gericht op het onderzoeken van beide kanten van een ransomware-aanval, zowel vanuit perspectief van slachtoffers als cybercriminelen. De onderzoekers analyseerden daarom twee datasets. De eerste dataset was de cyberincidentendatabase van Kovrr, die actuele informatie bevat over cybergebeurtenissen en hun financiële impact. De tweede dataset bestond uit datalekken van de Conti-groep.

Belangrijkste bevindingen
Losgeld is slechts een klein onderdeel van de kosten van een ransomware-aanval. CPR schat dat de totale kosten van een aanval voor een slachtoffer zeven keer hoger zijn dan het losgeld betaald aan de cybercriminelen. Het bedrag loopt op door kosten voor respons- en herstel, monitoring en juridische kosten.
De vraagsom is afhankelijk van de jaarlijkse inkomsten van het slachtoffer en varieert van 0,7 tot 5 procent van de jaarlijkse inkomsten. Hoe hoger de jaarlijkse inkomsten van het slachtoffer, hoe lager het percentage van de inkomsten dat zal worden geëist, aangezien dat percentage een hogere getalswaarde in dollars vertegenwoordigt.
De duur van een ransomware-aanval daalde in 2021 aanzienlijk, van 15 dagen naar 9 dagen. CPR ziet ook dat ransomware-groepen duidelijke basisregels hebben voor succesvolle onderhandelingen met slachtoffers, wat van invloed is op het onderhandelingsproces en de dynamiek. Ze maken een nauwkeurige schatting van de financiële positie van het slachtoffer, van de kwaliteit (gevoeligheid) van bemachtigde gegevens van het slachtoffer, de reputatie van de ransomware-groep, het hebben van een cyberverzekering en de aanpak en belangen van onderhandelaars van slachtoffers.

Bendes lijken op legitieme organisaties
“Dit onderzoek geeft een diepgaand inzicht in zowel het perspectief van de aanvallers als de slachtoffers van een ransomware-aanval. Opvallend is dat het betaalde losgeld geen hoofdrol speelt in het ransomware-ecosysteem. Zowel bij cybercriminelen als slachtoffers spelen veel andere financiële aspecten en overwegingen rond een aanval. Het is opmerkelijk hoe ransomware-bendes alarmerend veel lijken op legitieme organisaties met duidelijke managementstructuren en HR-beleid. De verfijning van deze ransomware-groepen strekt zich uit tot het nauwkeurig bepalen van slachtoffers en de hoogte van een losgeldbedrag, evenals de onderhandelingstechnieken die ze gebruiken om maximale financiële winst te behalen. Niets is toeval, alles is gedefinieerd en gepland volgens factoren die we hebben beschreven”, zegt Zahier Madhar, Security Engineer Expert bij Check Point Software in Nederland. “Organisaties worden zich gelukkig bewuster van de dreiging van ransomware en stellen duidelijke reactie- en mitigatieplannen op. De duur van ransomware-aanvallen neemt daardoor af. Cybercriminelen zullen echter altijd hun spel verbeteren en nieuwe manieren vinden om schade aan te richten. Onze boodschap aan het publiek is dat het vooraf opbouwen van een goede cyberafweer en met name een goed gedefinieerd reactieplan op ransomware-aanvallen, organisaties veel geld kan besparen.”

Ransomware in cijfers
Over het eerste kwartaal van 2022 deelt CPR de volgende cijfers:
In Europa is het wekelijkse gemiddelde van getroffen organisaties 1 op 68, een stijging van 16 procent op jaarbasis (1 op 80 organisaties in Q1 2021). In Nederland werden wekelijks gemiddeld 82 organisaties getroffen. Onderzoekers van CPR meldden in maart dat Emotet momenteel de meest populaire malware is en 10 procent van de organisaties in Nederland treft. Emotet is een geavanceerde, zichzelf verspreidende en modulaire trojan die meerdere methoden gebruikt voor het handhaven van persistentie en ontwijkingstechnieken om detectie te voorkomen. Sinds de terugkeer in november vorig jaar en het recente nieuws dat Trickbot is stopgezet, heeft Emotet zijn positie als de meest voorkomende malware versterkt. Dit werd onlangs nog verder verstevigd doordat agressieve phishing e-mailcampagnes met het paasthema het botnet hebben verspreid.

Het volledige onderzoek met onder andere meer details over het onderhandelingsproces is te lezen in dit blog.