(Spear) Phishing-Mails
Die häufigste Ursache sich mit Ransomware zu infizieren ist eine Phishing-E-Mail, die einen Anhang oder einen Link enthält. Wenn der Benutzer auf einem einzelnen Computer den Anhang öffnet oder auf den Link klickt, führt die Ransomware Programme aus, welche dann den Zugriff auf die Daten verwehren und im Regelfall eine Zahlungsaufforderung anzeigt. In diesem Fall können die Daten nur mit einem mathematischen Schlüssel entschlüsselt werden, der nur dem Angreifer bekannt ist.
Es gab aber auch Fälle, in denen Malware eine Meldung anzeigte, dass das „Windows“ des Benutzers gesperrt sei. Der Benutzer wird dann aufgefordert, eine „Microsoft“-Telefonnummer anzurufen und einen sechsstelligen Code einzugeben, um das System zu reaktivieren. In der Meldung wird behauptet, dass der Anruf kostenlos sei, was dann aber doch nicht stimmt. Während der Benutzer das gefälschte „Microsoft“ anruft, fallen hohe Gebühren für Ferngespräche an.
Infizierte Webseiten und Malvertising/Adware
Infizierte URLs werden häufig zur Verbreitung von Ransomware verwendet. Wenn Sie auf einen dieser Links klicken, sei es über eine E-Mail oder eine nicht verifizierte Website, kann automatisch ein Ransomware-Download auf Ihre Festplatte ausgelöst werden, auch bekannt als „Drive-by-Download“. Schon der Besuch der Website, ohne etwas herunterzuladen, kann zu einem Ransomware-Angriff führen.
Remote Access Points (RDP)
In zunehmenden Maße erhalten Angreifer Zugriff auf ein Unternehmen, das offene und ungeschützte Remote-Zugriffspunkte wie RDP und Virtual Network Computing (VNC) hat. RDP-Anmeldeinformationen können durch Brute-Force-Angriffe erlangt, durch Passwortleaks erhalten oder einfach im Darknet gekauft werden. Während frühere Ransomware-Kriminelle eine "command and control" Umgebung für die Ransomware und die Entschlüsselungsschlüssel einrichteten, wenden sich die meisten Kriminellen heute mit Lösegeldforderungen über eine anonyme E-Mail Plattform an ihre Opfer, sodass die Angrefer besser versteckt bleiben können.
Bei ausgefeilteren Angriffen ist dies nur der Anfang einer Vielzahl von weiteren Auswirkungen, wie im Lockheed Martin Cyber Kill Chain®-Framework und in der MITRE ATT&CK®-Wissensdatenbank beschrieben.