Uit 80 miljoen wereldwijd verzamelde malware samples blijkt dat er ruim 130 verschillende zogeheten ransomware families actief zijn. Dit blijkt uit een analyse over de cijfers 2020-2021 van cybersecurity initiatief 'VirusTotal' in opdracht van zoekgigant 'Google'. De meest getroffen landen in deze periode zijn onder andere Israël, Zuid-Korea, Vietnam, China en Singapore.
Ransomware families
Een ransomware familie omvat alle ransomware, software die gegevens gijzelt voor geld, die afgeleid zijn van een (vaak) bekende technische werkwijze. Deze werkwijze wordt vervolgens vernoemd naar de groep die het ontwikkeld heeft. De meest veelvoorkomende ransomware families zijn volgens deze analyse gebaseerd op de GandCrab (78.5%), Babuk (7.61%) en Cerber (3.11%) ransomware.
Ransomware samples
Het onderzoek van VirusTotal is gebaseerd op ingestuurde ransomware samples uit 140 verschillende landen. Deze landen hebben gezamenlijk 80 miljoen samples ingediend, waarvan er ruim 1 miljoen door meerdere bronnen als ransomware zijn geïdentificeerd.
De analyse wijst uit dat er 130 ransomware families actief zijn die elkaar afwisselen in mate van populariteit. Hoe meer clusters er binnen een familie actief zijn, hoe breder de diversiteit van de gebruikte malware die op deze familie gebaseerd is. Ook gebruiken aanvallers uiteenlopende technieken, zoals botnet malware en Remote Access Trojans (RATs) om de ransomware bij hun doelwit te krijgen.
De meest veelvoorkomende ransomware familie is GandCrab (78.5%), op gepaste afstand gevolgd door Babuk, Cerber, Matsnu, Wannacry, Congur, Locky, Teslacrypt, Rkor, en Reveon. Ruim 95% van de geanalyseerde ransomware bestanden waren op Windows gericht, tegen slechts 2% voor Android
De top twee families zijn oververtegenwoordigd omdat er tijdens de meetperiode grote aanvallen op basis van deze ransomware hebben plaatsgevonden. Zo was er een grote piek van GandCrab aanvallen in de eerste helft van 2020. Het gebruik van deze familie zakte hierna snel in. Een reden voor de brede inzet is dat de GandCrab ransomware als onderdeel van Ransomware-as-a-Service (RaaS) diensten wordt verkocht. GandCrab wordt op deze manier door veel criminele groepen op verschillende manieren ingezet en daarmee ook vaker teruggevonden bij analyse.
Landen onder zwaar vuur
Uit de analyse van VirusTotal blijkt verder dat van de 140 landen, de volgende landen het meeste last lijken te hebben van ransomware aanvallen: Israël, Zuid-Korea, Vietnam, China, Singapore, India, Kazakhstan, de Filipijnen, Iran, en het Verenigd Koninkrijk. Met name Israël springt er tussenuit, met ruim 600% meer ingediende samples dan normaal.
Laag risico hoge beloning
Ransomware is een 'low-risk, high reward' strategie die zowel door grote als kleine groepen criminelen kunnen worden ingezet. VirusTotal is dan ook van mening dat er regelmatig constant grote, opvallende ransomware campagnes zullen opduiken. Tegelijkertijd is er een constante stroom kleinere aanvallen die zelden stil ligt.
Een overzicht van de huidige aanvallen waarbij er data gelekt wordt op het darkweb kun je hier vinden. Het lekken van data door de cybercriminelen heeft twee redenen:
- Putting pressure: Druk zetten bij het slachtoffer zodat ze overgaan tot betaling voor alle data gepubliceerd wordt
- Punish: Als je niet betaald wordt alle data online gezet en kunnen hackers hun gang gaan om vervolgens nieuwe slachtoffers te maken, mogelijk klanten, partners of medewerkers
Bron: google.com, virustotal.com, vpngids.nl
Bekijk alle vormen en begrippen 》
Actuele aanvallen overzicht per dag 》
Meer rapporten bekijken of downloaden 》
Tips of verdachte activiteiten gezien? Meld het hier.
Ransomware gerelateerde berichten
Cybercriminelen blijven op het netwerk van slachtoffers actief
Cybercriminelen die organisaties met ransomware infecteren blijven na het versleutelen van systemen op de netwerken van hun slachtoffers actief en lezen mee met de berichten die worden ontvangen en verstuurd. Iets wat gevolgen heeft voor de manier waarop getroffen bedrijven met de infectie en het herstel moeten omgaan.
Universiteit Maastricht was niet goed voorbereid, maar wel adequaat in handelen op Cyberaanval
De Universiteit Maastricht was niet goed voorbereid op de aanval met ransomware, eind vorig jaar. Wel is er adequaat gehandeld bij het afhandelen van de aanval, zo stelt de Inspectie van het Onderwijs na een onderzoek naar de toedracht.
Koninklijke Reesink: waarschijnlijk gaat het om miljoenen euro’s
De Nederlandse landbouwdistributeur 'Royal Reesink' is slachtoffer geworden van een aanval met ransomware. Het Apeldoornse bedrijf, dat in 10 landen vestigingen heeft en in 2019 een omzet had van bijna 1 miljard euro, lag sinds begin juni plat. Zeventig procent van de 35 aangesloten bedrijven werd geraakt door de digitale aanval.
Ransomware legt autoproductie Honda wereldwijd plat
Autofabrikant Honda heeft wereldwijd verschillende producties stilgezet. Het bedrijf lijkt getroffen te zijn door een cyberaanval. De aard daarvan is niet duidelijk; er zijn geruchten dat het om ransomware gaat.
IT bedrijf moet ransomware schade door zwakke beveiliging betalen
Een it-bedrijf dat netwerkbeheer voor een Hilversums administratiekantoor uitvoerde moet de schade door een ransomware-infectie grotendeels vergoeden, zo heeft de rechtbank Amsterdam bepaald. Het gaat om een bedrag van ruim 10.000 euro, alsmede de proceskosten van 3.100 euro. Tevens hoeft het administratiekantoor de herstelwerkzaamheden die het it-bedrijf verrichtte niet te betalen.
6 miljoen dollar nog niet voldoende voor cybercriminelen achter REvil ransomware
De bende achter de beruchte REvil-ransomware, ook bekend als Sodinokibi, is begonnen met het veilen van de data die bij een slachtoffer is gestolen. Volgens de FBI hebben slachtoffers van deze ransomware al meer dan 6 miljoen dollar betaald voor het ontsleutelen van hun bestanden. Net als verschillende andere ransomwaregroepen besloot de REvil-bende om data van slachtoffers niet alleen te versleutelen, maar ook te stelen.