RansomHub
RansomHub was a ransomware-as-a-service (RaaS) variant, previously known as Cyclops and Knight.
Der Ursprung von RansomHub
Emerging in February 2024, the group has encrypted and exfiltrated data from over 210 victims, leveraging high-profile affiliates from other ransomware groups such as LockBit and ALPHV. RansomHub's operation focused on a double extortion model, where affiliates encrypt systems and exfiltrate data, threatening to publish stolen data if ransoms are not paid. The group was known for its professionalism and technical sophistication. RansomHub was last seen in March 2025.
Von RansomHub anvisierte Länder
RansomHub had a global reach, with victims primarily in the United States and Europe, focusing on critical infrastructure and key industries.
The group claimed to avoid targeting the Commonwealth of Independent States (CIS), Cuba, North Korea, and China, likely due to operational safe havens or legal protections.
Zielbranchen von RansomHub
RansomHub zielt auf ein breites Spektrum von Branchen ab, wobei die wichtigsten Sektoren Unternehmensdienstleistungen, Einzelhandel und Fertigung sind. Weitere häufig betroffene Branchen sind Bildungsdienste, Behörden, Finanzen, Bauwesen, Gesundheitswesen, Technologie und kritische Infrastrukturen. Die Fokussierung der Gruppe auf kritische Sektoren unterstreicht ihren breiten Aktionsradius, der sowohl für öffentliche als auch für private Einrichtungen eine erhebliche Bedrohung darstellt.
Trotz der Effizienz der Gruppe behaupten sie, dass sie nicht auf gemeinnützige Organisationen abzielen.
Die Opfer von RansomHub
Over 844 organizations have fallen victim to RansomHub since its emergence, with a notable focus on public infrastructure, including healthcare systems and government facilities. These attacks disrupted vital services, leading to significant operational downtimes and substantial ransom demands.
Die Angriffsmethode von RansomHub
RansomHub affiliates gained access through phishing emails, exploiting vulnerabilities, and password spraying. Common vulnerabilities exploited include CVE-2023-3519 (Citrix ADC), CVE-2023-27997 (Fortinet), and CVE-2020-1472 (Netlogon privilege escalation).
Once inside, affiliates escalated privileges using tools like Mimikatz, enabling full control over compromised systems.
They disabled security tools, clear logs, and renamed ransomware executables to blend into system files, evading detection.
Using credential dumping tools and password spraying, affiliates gathered administrative credentials to access high-value systems.
Network reconnaissance was conducted using tools like Nmap and PowerShell to identify valuable targets and plan further exploitation.
Affiliates moved laterally using tools like Remote Desktop Protocol (RDP), PsExec, and AnyDesk, gaining access to additional systems within the network.
Sensitive data was exfiltrated using tools like Rclone and WinSCP, often for double extortion purposes, where the stolen data was used as leverage in ransom negotiations.
The ransomware was executed across the victim’s network, encrypting files using Curve 25519 elliptic-curve encryption.
Data was exfiltrated through encrypted protocols, cloud accounts, or direct transfers to attacker-controlled servers.
RansomHub’s encryption rendered victim systems inoperable, often leading to extensive operational downtime. Affiliates deleted backups and volume shadow copies to prevent recovery efforts, maximizing the pressure on victims to pay the ransom.
RansomHub affiliates gained access through phishing emails, exploiting vulnerabilities, and password spraying. Common vulnerabilities exploited include CVE-2023-3519 (Citrix ADC), CVE-2023-27997 (Fortinet), and CVE-2020-1472 (Netlogon privilege escalation).
Once inside, affiliates escalated privileges using tools like Mimikatz, enabling full control over compromised systems.
They disabled security tools, clear logs, and renamed ransomware executables to blend into system files, evading detection.
Using credential dumping tools and password spraying, affiliates gathered administrative credentials to access high-value systems.
Network reconnaissance was conducted using tools like Nmap and PowerShell to identify valuable targets and plan further exploitation.
Affiliates moved laterally using tools like Remote Desktop Protocol (RDP), PsExec, and AnyDesk, gaining access to additional systems within the network.
Sensitive data was exfiltrated using tools like Rclone and WinSCP, often for double extortion purposes, where the stolen data was used as leverage in ransom negotiations.
The ransomware was executed across the victim’s network, encrypting files using Curve 25519 elliptic-curve encryption.
Data was exfiltrated through encrypted protocols, cloud accounts, or direct transfers to attacker-controlled servers.
RansomHub’s encryption rendered victim systems inoperable, often leading to extensive operational downtime. Affiliates deleted backups and volume shadow copies to prevent recovery efforts, maximizing the pressure on victims to pay the ransom.
Von RansomHub verwendete TTPs
How to Detect Threat Actors with Vectra AI
Häufig gestellte Fragen
Welche Branchen sind die Hauptzielgruppen von RansomHub?
RansomHub greift kritische Infrastrukturbereiche wie das Gesundheitswesen, Finanzdienstleistungen und Regierungseinrichtungen an.
Welche Länder sind am meisten von RansomHub betroffen?
Die Gruppe zielt in erster Linie auf Organisationen in den Vereinigten Staaten und Europa ab und meidet die GUS-Länder, Kuba, Nordkorea und China.
Wie verschafft sich RansomHub den ersten Zugang?
Affiliates nutzen bekannte Schwachstellen aus, verwenden phishing Angriffe und setzen gestohlene Zugangsdaten ein, um in Systeme einzudringen.
Was sind die Methoden von RansomHub zur Datenexfiltration?
Sie verwenden Tools wie Rclone und WinSCP, um sensible Daten über verschlüsselte Kanäle zu exfiltrieren.
Wie erweitert RansomHub die Privilegien innerhalb eines Netzwerks?
Affiliates verwenden Tools wie Mimikatz, um Anmeldedaten zu extrahieren und sich auf Systemebene zu privilegieren.
Welche Verschlüsselungsmethode verwendet RansomHub?
Die Partner von RansomHub verwenden die elliptische Kurve 25519, um die Dateien der Opfer zu verschlüsseln.
Wie entgehen die RansomHub-Partner der Entdeckung?
Sie deaktivieren Sicherheitsprogramme, löschen Protokolle und benennen die ausführbaren Dateien von ransomware um, um sie mit legitimen Dateien zu verwechseln.
Welche Werkzeuge verwendet RansomHub für die seitliche Bewegung?
Tools wie Remote Desktop Protocol (RDP), AnyDesk und PsExec werden verwendet, um sich seitlich in kompromittierten Netzwerken zu bewegen.
Welche Strategien zur Schadensbegrenzung können helfen, RansomHub-Angriffe zu verhindern?
Die Implementierung einer phishing-resistenten Multi-Faktor-Authentifizierung (MFA), das Patchen von Schwachstellen und die Segmentierung von Netzwerken sind wichtige Strategien zur Eindämmung.
Was sind die Auswirkungen eines RansomHub-Angriffs?
Die Opfer erleben oft erhebliche Ausfallzeiten und Datenverluste aufgrund der Verschlüsselung und der Löschung von Sicherungskopien, was zu einer Lähmung des Betriebs und hohen Lösegeldforderungen führt.