Liebe Community,

inspiriert durch den aktuellen Heise-Security-Artikel „Ransomware im LLM: Forscher füttern ChatGPT mit Daten der ‚Black Basta‘-Bande“ habe ich einen speziell konfigurierten Chatbot intensiv getestet. Das Ziel: wertvolle Einblicke in die Verhandlungsstrategien und Zahlungsabläufe von Ransomware-Opfern zu gewinnen – mit erstaunlichen Ergebnissen!

Vorgehensweise

Der Chatbot wurde mit einer Reihe von Datensätzen zur Ransomware-Verhandlung mit Black Basta konfrontiert. Dabei standen insbesondere folgende Fragen im Fokus:

• Welche Beträge wurden gezahlt?
• Wie liefen die Verhandlungen ab?
• Welche Fehler unterliefen Unternehmen im Ernstfall?

Zahlungen der Opfer

Einige beispielhafte Transaktionen:

• 28.12.2023: $125.000 – „Limited funds available, unable to pay more“
• 21.02.2024: $1.000.000 – Zahlung zur Problemlösung (Bitcoin Wallet: bc1q4w5p0pfrkg0glg77g0zazsu4m37yjxvfnhak9wym6gzkd35562zq9paxrx)
• 29.01.2024: $1.200 – Zahlung für 4 Dateien (BTC Wallet: bc1qyuhznt4dfluka78yuu0tu2sntg27s72wpyax6c)

Verhandlungsstrategien und Entscheidungsprozesse

• Insgesamt wurden vier Zahlungen dokumentiert.
• 14 Unternehmen nahmen Verhandlungen auf, doch sechs lehnten eine Zahlung konsequent ab.
• Die Gründe für ein „Nein“ reichten von unzureichender Cyber-Versicherung über finanzielle Engpässe bis hin zur bewussten Entscheidung, sich nicht auf Erpressungsversuche einzulassen.

Wichtige Learnings

Die Analyse ergab fünf häufige Fehler, die Unternehmen in Verhandlungen unterlaufen:

• Zu frühe Offenlegung finanzieller Grenzen
• Unnötig in die Länge gezogene Gespräche
• Fehlende interne Abstimmung über das weitere Vorgehen
• Unklare Kommunikation mit den Angreifern
• Unterschätzte Risiken bei der Zahlung selbst

Zusätzlich ließen sich wertvolle Erkenntnisse für die Verbesserung von SOC- und EDR-Systemen ableiten – von der besseren Absicherung von RDP- und VPN-Zugängen bis hin zu maßgeschneiderten Erkennungsregeln gegen Bedrohungen wie Cobalt Strike.

Fazit

Dieses Experiment zeigt, wie innovative Methoden helfen können, Cyberangriffe besser zu verstehen und präventive Maßnahmen gezielt zu verbessern. Die Erkenntnisse tragen dazu bei, Unternehmen auf solche Bedrohungen besser vorzubereiten und ihre Verteidigungsstrategien zu optimieren.

Ich freue mich auf eure Gedanken und den Austausch zu diesem Thema – gemeinsam können wir die IT-Sicherheit weiter stärken!

Beste Grüße,
Michael Meixner