Die Ransomware-Gruppe Embargo hat seit April 2024 34 Millionen Dollar bewegt, wie TRM Labs enthüllt

Die Ransomware-Gruppe Embargo wird beschuldigt, seit April 2024 mehr als 34 Millionen Dollar in mehreren kryptoverknüpften Zahlungen bewegt zu haben. Laut der Blockchain-Intelligenzfirma TRM Labs ist die Gruppe, die noch relativ neu ist, zu einem wichtigen Akteur in der unterirdischen Cyberkriminalitätswelt geworden.

TRM Labs enthüllte, dass Embargo unter einem Ransomware-as-a-Service-Modell operiert und kritische Infrastrukturen in den gesamten Vereinigten Staaten trifft.

Der Bericht enthüllte, dass die Gruppe Krankenhäuser und mehrere pharmazeutische Netzwerke in zahlreichen Bundesstaaten getroffen hat. Zu ihren Opfern gehören American Associated Pharmacies, das in Georgia ansässige Memorial Hospital and Manor und das Weiser Hospital in Idaho, wobei die Lösegeldforderungen bis zu 1,3 Millionen Dollar betrugen.

TRM Labs-Untersuchungen decken Embargos Operationen auf

Laut TRM Labs deckten ihre Untersuchungen auf, dass die Gruppe möglicherweise als umbenannte Version des berüchtigten BlackCat (ALPHV)-Betriebs entstanden ist. Die genannte Gruppe verschwand Anfang dieses Jahres, nachdem sie an einem Exit-Scam beteiligt gewesen war. Ein Exit-Scam ist eine Art Rug-Pull, bei dem die Verantwortlichen eines Projekts mit den Geldern der Benutzer spurlos verschwinden.

Unter Verwendung der Programmiersprache Rust, dem Betrieb ähnlicher Datenleck-Websites und dem Aufweisen von On-Chain-Verbindungen durch gemeinsame Wallet-Infrastruktur bemerkte TRM Labs, dass beide Entitäten eine technische Überschneidung aufweisen.

Berichten zufolge liegen etwa 18 Millionen Dollar illegaler Erlöse, die Embargo gehören, immer noch in nicht zugehörigen Wallets schlafend. Analysten glauben, dass diese Taktik verwendet wird, um die Entdeckung zu verzögern oder in Zukunft bessere Ausnutzungsmöglichkeiten zu suchen.

Embargo nutzt ein Netzwerk aus Zwischen-Wallets, Börsen mit hohem Risiko sowie sanktionierte Plattformen, darunter Cryptos.net, um Transaktionsverläufe zu verschleiern und Gelder zu verschleiern. Von Mai bis August gab TRM Labs an, mindestens 13,5 Millionen US-Dollar, die von Embargo gestohlen wurden, über verschiedene virtuelle Vermögensdienstleister zurückverfolgt zu haben, wobei mehr als 1 Million US-Dollar allein mit Cryptex bewegt wurden.

Während Embargo die aggressiven Taktiken von Gruppen wie LockBit oder Cl0p nicht einsetzt, hat die Gruppe eine Double-Extortion-Taktik übernommen. Sie verwendet Systemverschlüsselung und Drohungen, sensible Daten zu veröffentlichen, um ihre Opfer zur Zahlung des Lösegelds zu zwingen. In einigen anderen Fällen hat die Gruppe Namen von beteiligten Personen oder die gestohlenen Daten veröffentlicht, um ihre Ernsthaftigkeit zu zeigen und den Druck zu erhöhen.

Emargo zielt auf hochrangige Ziele ab

Die Gruppe zielt stets auf Sektoren ab, in denen Ausfallzeiten sich kostspielig für ihre Operationen auswirken, einschließlich Branchen wie Gesundheitswesen, Fertigung und Geschäftsdienstleistungen. Es hat sich auch gezeigt, dass sie eine Präferenz für Opfer hat, die in den Vereinigten Staaten ansässig sind, da diese tendenziell die Kapazität haben, pünktlich zu zahlen, da Ausfallzeiten sich kostspielig für ihre Operationen erweisen können.

In der Zwischenzeit hat das Vereinigte Königreich Pläne angekündigt, Lösegeldzahlungen für alle Behörden des öffentlichen Sektors und Betreiber kritischer nationaler Infrastruktur zu verbieten. Zu diesen Sektoren gehören Energie, Gesundheitswesen und lokale Räte. Der Vorschlag wird ein Präventionssystem einführen, das die Opfer außerhalb des Verbots verpflichtet, beabsichtigte Lösegeldzahlungen den Behörden zu melden.

Der Plan umfasst auch ein verpflichtendes Meldesystem, bei dem die Opfer verpflichtet sind, innerhalb von 72 Stunden nach einem Angriff einen ersten Bericht an die Regierung einzureichen und innerhalb der nächsten 28 Tage einen detaillierten Folgebericht zu erstellen.

Laut einem früheren Chainalysis-Bericht gingen die Ransomware-Angriffe im letzten Jahr um etwa 35 % zurück. Der Bericht behauptete, es sei das erste Mal seit 2022, dass die Einnahmen aus Ransomware so stark zurückgingen. Der im Februar veröffentlichte Bericht erwähnte, dass die Nutzer trotz des Rückgangs immer noch mehr als 800 Millionen Dollar an die Kriminellen verloren haben. Chainalysis behauptete, dass die Ursachen für den Rückgang erhöhte Strafverfolgungsmaßnahmen, verbesserte internationale Zusammenarbeit und eine wachsende Weigerung der Opfer, zu zahlen, waren.