Ransomware-as-a-Service wird genau wie andere Malware heimlich in fremden Netzwerken verteilt, beispielweise
Grundsätzlich nutzt RaaS die gleichen Verbreitungswege wie viele andere Schadprogramme. Für die Opfer ist in der Regel nicht erkennbar, ob sie es mit einer RaaS-Attacke zu tun haben oder mit anderen kriminellen Ransomware-Werkzeugen.
Die Angreifer:innen nutzen ihre gemietete Ransomware in der Regel ähnlich wie herkömmliche Software-as-a-Service:
Sie führen meist in kurzer Zeit sehr viele Attacken gegen unterschiedliche Unternehmen und Organisationen aus.
Über webbasierte Dashboards sehen sie, ob ihre Angriffe erfolgreich waren und in welchen Firmennetzen sie sich eingenistet haben.
Die Hacker:innen entscheiden individuell, ob ein betroffenes Unternehmen ein lukratives Opfer ist. In einigen Fällen können sie über eine sogenannte Backdoor, also eine versteckte Hintertür in der Software, weitere Schadprogramme für zukünftige Angriffe einspielen.
Auch viele Cyberschutz-Expert:innen beobachten aufmerksam das Darknet und kennen die wichtigsten RaaS-Produkte. Bekannt sind beispielsweise:
LockBit: Hierbei handelt es sich höchstwahrscheinlich um eine russische Ransomware-Suite. Sie ist bereits seit einigen Jahren verbreitet und kann auch zum Ausspionieren von Firmennetzen verwendet werden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bezeichnete die Macher:innen von LockBit 2023 als den „aktuell […] gefährlichsten Cybercrime-Akteur der Welt.“
REvil: Die gleichnamige Entwicklergruppe und ihre Software sind auch unter den Namen „Sodinokibi“ und „Pinchy Spider“ bekannt. Sie gilt als wahrscheinlicher Nachfolger eines früheren Entwicklerkollektivs namens „GandCrab“. Erstmals aktiv wurde REvil etwa um das Jahr 2019. In Deutschland sind Angriffe auf das Staatstheater Stuttgart, Krankenhäuser und verschiedene mittelständische Unternehmen bekannt. Anfang 2022 wurde zumindest ein Teil des Netzwerks von der russischen Polizei und dem russischen Geheimdienst zerschlagen.
Tox: Dieses Software-Kit war eines der ersten verfügbaren Ransomware-Produkte. Erste Berichte über Tox-Attacken gibt es aus dem Jahr 2015. Die Nutzer:innen konnten über einfache Programm-Interfaces ihre Erpresserbriefe erstellen, indem sie die Lösegeldhöhe und ein paar weitere Parameter eingaben. Das Schadprogramm gab es als Datei im unverdächtigen .scr-Format, also als ausführbare Skript-Datei, die beispielsweise Windows-Systeme befallen kann. Vertrieben wurde die Tox-Software über das Tor-Netzwerk.