Exposed Phobos: Wie eine Ransomware als Service bewegt Millionen und fiel dank einer internationalen Operation

Die jüngste Schulderklärung eines russischen Staatsbürgers für seine Rolle in der Verwaltung der Ransomware Phobos bringt zurück zu den Vordergrund, wie die digitalen kriminellen Volkswirtschaften und die Sicherheiten Schäden, die sie heute erzeugen, arbeiten. Diese "Ransomware- as- a- Service" (RaaS) Operation infizierte Hunderte von Organisationen auf der ganzen Welt und hätte zehn Millionen Dollar bei Rettungszahlungen angehoben.

Phobos ist keine neue Bedrohung: Sicherheitsforscher haben die Familie als Ableitung früherer Familien wie Crysis / Dharma identifiziert, und ihr Geschäftsmodell dreht sich um den Verkauf und die Vermietung von Werkzeugen an Dritte, die die Intrusionen durchführen. Eine technische Analyse veröffentlicht von Cisco Talos erklärt im Detail die Affiliate-Struktur, die die Verbreitung von Phobos in geheimen Foren und Märkten erlaubt nach Talos. Diese Architektur erleichtert es den Betreibern mit unterschiedlichen Technik- und Organisationsgraden, Angriffe zu starten, ohne Malware von Grund auf zu entwickeln.

Die Gebühren gegen Evgenii Ptitsyn, die im November 2024 aus Südkorea ausgeschüttet wurde, beschreiben eine Operation, in der Manager Entschlüsselungsschlüssel im Austausch für eine feste Bereitstellungszahlung angeboten, zusätzlich zu einer Rettungskommission. Die von den Anklagedaten erhobene Datei, dass jeder Bereitstellung eine eindeutige alphanumerische Kennung zugeordnet wurde, um sie mit dem entsprechenden Entschlüsselungsschlüssel übereinzustimmen, und dass die Kommissionsüberweisungen an eine von den Administratoren kontrollierte Brieftasche gezogen wurden nach gerichtlichen Unterlagen.

Die Zahlen, die über die verschiedenen offiziellen Mitteilungen hinausgegangen sind, sind auffällig. Das US-Amt für Staatsanwaltschaft und andere Quellen schätzen, dass die Gruppe hinter Phobos mehr als 39 Millionen US-Dollar angehoben hat und dass die Operation mehr als tausend öffentliche und private Unternehmen betroffen. Darüber hinaus, zwischen Mai und November 2024, die Proben, die an den ID Ransomware Service gesendet wurden, weist auf Phobos als verantwortlich für einen erheblichen Teil der gemeldeten Fälle, geben eine Vorstellung von ihrem operativen Umfang.

Der Betrieb des Phobos-Ökosystems war typisch für das RaaS-Modell: Administratoren pflegten die Infrastruktur, entwickelten Malware und verkauften oder vermieteten Zugang und Schlüssel zu Affiliate, die die Intrusionen ausgeführt. Diese Mitglieder, nach der Strafverfolgung, durchdrungen Netzwerke durch gestohlene Anmeldeinformationen, laterale Verschiebung und andere Techniken, und dann verschlüsselte kritische Daten, ausgefilterte Informationen und gepresste Opfer durch elektronische und telefonische Kanäle zu zahlen. Die Operation kombinierte technologische Erpressung mit Bedrohungen, um fremde Daten zu filtern oder zu verkaufen.

Auf der Ebene der Polizei war der Rückgang der wichtigsten Teile des Netzes das Ergebnis einer koordinierten internationalen Forschung. Unter dem Dach des sogenannten "Operation Aether" - einer gemeinsamen Aktion mit mehreren europäischen Agenturen und Eurojust - haben die Behörden Verdächtige in verschiedenen Ländern verhaftet, Server und Geräte erfasst und Hunderte von Unternehmen über spezifische Risiken informiert. Europol erklärte, dass diese Interventionen Verhaftungen in Polen und die Eroberung der Infrastruktur im Februar 2025 sowie verwandte Verhaftungen in Italien in den vergangenen Jahren beinhalteten. gemäß Europol. Diese Maßnahmen zeigen, dass, obwohl die Banden transnational arbeiten, die Zusammenarbeit zwischen Staatsanwälten und Sicherheitskräften ihre Operationen zerlegen kann.

Aus ökonomischer Sicht ist das System einfach, aber effektiv: Die Zugehörigkeiten erlaubten weniger anspruchsvollen Betreibern, eine Gebühr für den Einsatz zu zahlen - die Strafverfolgung erwähnt Zahlungen von etwa $ 300 pro Entschlüsselungsschlüssel nach einer Infektion - und parallel sammelten die Administratoren Bruchteile der Rettung der Opfer. Die Verwendung von Kryptomonedas, um diese Zahlungen zunächst komplizierte Rückverfolgbarkeit zu kanalisieren, aber Forscher gelang es, den Weg der Übertragungen zwischen Geldbörseninhabern zu verfolgen, bis sie wiederkehrende Muster hatten, die Administratoren und Tochtergesellschaften verknüpfen.

Neben Zahlen und Verhaftungen gibt es menschliche und operative Konsequenzen. Gesundheitszentren, Schulen und öffentliche Einrichtungen gehören zu den von den Untersuchungen beschriebenen Opfern. Für diese Organisationen ist die Unterbrechung nicht nur ein unmittelbarer wirtschaftlicher Verlust: Die Unfähigkeit, auf klinische Aufzeichnungen, Dateien oder Verwaltungssysteme zuzugreifen, schafft echtes Risiko für Menschen und kritische Funktionen. Die Reputations- und Erholungskosten - Systemwiederherstellung, forensische Audits und Verteidigungsverstärkung - vervielfachen oft die Menge des gezahlten oder beanspruchten Lösegeldes.

Die öffentlichen Gebühren gegen Ptitsyn und die Demontage von Infrastrukturmaßnahmen erinnern daran, dass die Offensive gegen kriminelle Netzwerke auf zwei Fronten geht: einerseits die anhaltende Verbesserung der Cyberdefence durch Unternehmen und Verwaltungen; andererseits internationale Forschung, die Betreiber verfolgt und ihre Monetisierungskanäle blockiert. Inzident- und Medienorganisationen des Sektors haben den Fall im Detail und im technischen Kontext behandelt als Bleping Computer, zusätzliche Stücke auf Chronologie und Umfang.

Für Sicherheitsexperten und Beamte sind die Lektionen klar: die Hygiene von Anmeldeinformationen, die Segmentierung von Netzwerken, regelmäßige und bewährte Sicherung und Multifaktor-Authentifizierung sind Maßnahmen, die die Oberfläche des Angriffs reduzieren und die Möglichkeit, dass der erste Zugang zu einer Krise werden. Gleichzeitig erleichtert die öffentlich-private Zusammenarbeit bei der Früherkennung und Reaktion die Aufklärung potenzieller Opfer, bevor der Schaden massiv ist, wie die Behörden bei den Operationen gegen Phobos festgestellt haben.

Der Fall hebt auch Fragen zur langfristigen Wirksamkeit von RaaS-Modellen auf: die Leichtigkeit, mit der digitale Gewalt externisiert wird und die Kostenwirksamkeit des Verbrechens das Problem nach Anonymitäts- und Serviceschichten verschlüsselt. Verhaftungen und Anfälle zeigen jedoch, dass diese Modelle nicht immun gegen forensische Untersuchungen und koordinierte rechtliche Maßnahmen sind. Der für Juli gesetzte Satz für den Gefängnisverwalter wird ein weiteres Kapitel in der gerichtlichen Reaktion auf diese Operationen sein.

Wenn Sie die ursprünglichen Quellen überprüfen und vertiefen möchten, sind die Unterlagen des Falles und die Anmerkungen der beteiligten Stellen öffentlich zugänglich: die der Strafverfolgung beigefügten gerichtlichen Angaben können bei der veröffentlicht., die technische Analyse der Struktur von Phobos ist auf dem Blog von Cisco Talos und Europol informiert über die internationale Koordinierung in ihre Mitteilungen. Diese Lesungen helfen, sowohl den technischen Mechanismus als auch die kollektive Antwort zu verstehen, die erforderlich ist, um Bedrohungen dieser Art zu enthalten.