DragonForce Ransomware Group: Vorgehen und Schutzmaßnahmen

Die DragonForce Ransomware Group ist Teil einer Cybercrime-Operation, die Unternehmen mit Datendiebstahl, Systemverschlüsselung und anschließender Erpressung unter Druck setzt. Die Operation folgt einem arbeitsteiligen Ransomware-as-a-Service-Modell: Die Betreiber stellen Schadsoftware und Infrastruktur bereit, während Affiliates die Angriffe auf ausgewählte Organisationen ausführen. Erfahren Sie, wie DragonForce organisiert ist, welche Angriffsmuster dokumentiert sind und wie Sie die Widerstandsfähigkeit Ihrer Organisation stärken.

Wer ist die DragonForce Ransomware Group?

Erste Aktivitäten von DragonForce wurden in der zweiten Jahreshälfte 2023 beobachtet. In der Anfangsphase betrieb die Gruppe das Erpressungsportal DragonLeaks und setzte bei ihren Angriffen eine Ransomware-Variante ein, die auf dem geleakten Builder von LockBit 3.0 beruhte. Später kam eine weitere Variante hinzu, die auf Conti V3 basierte und um zusätzliche Funktionen ergänzt wurde. Der Name DragonForce bezeichnet daher sowohl die Betreiber der Cybercrime-Operation als auch deren Ransomware und das dazugehörige Dienstleistungsangebot.

Die DragonForce Ransomware Group verfolgt nach Einschätzung des Centre for Cybersecurity Belgium (CCB) finanzielle Interessen. Hinweise auf politische Ziele oder eine staatliche Steuerung liegen bislang nicht vor. Bei ihren Angriffen setzt die Gruppe auf doppelte Erpressung. Vor der Verschlüsselung entwenden die ausführenden Akteure sensible Daten aus dem betroffenen Netzwerk und drohen anschließend mit deren Veröffentlichung oder Verkauf.

Die Herkunft der Betreiber lässt sich bislang nicht abschließend bestimmen. Mehrere Merkmale deuten laut CCB auf ein russischsprachiges oder GUS-nahes Umfeld hin. Dazu zählen die Vermarktung des Angebots auf dem überwiegend russischsprachigen Untergrundforum RAMP und Regeln, die Angriffe auf Russland sowie weitere Staaten der ehemaligen Sowjetunion ausschließen. Für eine zweifelsfreie Zuordnung reichen diese Indizien jedoch nicht aus.

Wie funktioniert das Geschäftsmodell von DragonForce?

DragonForce vermarktet sein Angebot seit Juni 2024 über ein Affiliate-Programm. Die beteiligten Angreifer behalten den größten Anteil der erpressten Zahlungen und nutzen eine zentrale Verwaltungsoberfläche, über die sie Schadsoftware konfigurieren, laufende Fälle steuern und Veröffentlichungen auf dem Leak-Portal vorbereiten. DragonForce stellt hierfür die technische Infrastruktur sowie Werkzeuge zur Verwaltung und Automatisierung bereit. Im März 2025 erweiterte die Gruppe dieses Geschäftsmodell zu einem Ransomware-Kartell, in dessen Rahmen Affiliates unter einer eigenen Marke auftreten und weiterhin auf die Infrastruktur von DragonForce zurückgreifen.

Wie gehen Hacker mit DragonForce Ransomware vor?

Bei dokumentierten Angriffen kommt die DragonForce Ransomware in einem mehrstufigen Ablauf zum Einsatz. Dabei kombinieren die Akteure reguläre Systemwerkzeuge mit Programmen zur Fernsteuerung, Analyse und Manipulation der betroffenen Umgebung. Die wiederkehrenden Angriffsphasen lassen sich wie folgt zusammenfassen:

1. Zugang zum Netzwerk erlangen: Für die initiale Kompromittierung nutzen die Angreifer Phishing-Nachrichten, bekannte Schwachstellen in öffentlich erreichbaren Systemen sowie Brute-Force-Angriffe auf RDP- und VPN-Dienste. Auch gestohlene oder bereits veröffentlichte Zugangsdaten eröffnen ihnen einen Weg in die IT-Umgebung.
2. Zugriff festigen und Berechtigungen ausweiten: Nach dem Einstieg führen die Akteure Befehle über integrierte Werkzeuge wie PowerShell aus und laden weitere Komponenten herunter. Mit Programmen wie Mimikatz, LaZagne oder PassView greifen sie zusätzliche Anmeldedaten ab, nutzen kompromittierte Administratorkonten und verschaffen sich höhere Berechtigungen.
3. Netzwerk erkunden und Zugriff ausweiten: Die Angreifer erfassen Systeme, Benutzerkonten, Konfigurationen und Netzwerkverbindungen, bevor sie sich über RDP, SMB, PsExec oder WMI zu weiteren Rechnern bewegen. Zusätzlich kommen EDR-Killer zum Einsatz, die verwundbare Treiber ausnutzen und dadurch Sicherheitsprozesse beenden.
4. Daten abziehen und Systeme verschlüsseln: Vor der Aktivierung der DragonForce Ransomware sammeln und bündeln die Akteure sensible Informationen, die sie etwa über SFTP, WebDAV, HTTP(S), FTP oder Cloud-Speicher übertragen. Anschließend verschlüsselt die Schadsoftware Dateien in Windows- und Linux-Systemen sowie in VMware-ESXi- und NAS-Umgebungen, wodurch Endgeräte und gemeinsam genutzte Infrastruktur beeinträchtigt werden.

Welche Unternehmen greift die DragonForce Ransomware Group an?

Die bislang dokumentierten Angriffe betreffen Unternehmen aus unterschiedlichen Wirtschaftszweigen. Besonders häufig betroffen sind Betriebe aus der Fertigungsindustrie, den unternehmensnahen Dienstleistungen, der Technologiebranche, dem Bauwesen und dem Gesundheitswesen. Auch geografisch verteilen sich die bekannten Fälle auf mehrere Regionen, wobei die meisten aus den USA, Deutschland, Australien, Frankreich und Hongkong stammen.

Wie schützen sich Unternehmen vor DragonForce Ransomware?

Der Schutz vor DragonForce Ransomware beginnt mit der Reduzierung vermeidbarer Angriffsflächen und reicht über die technische Prävention hinaus. Ebenso wichtig ist ein vorbereitetes Vorgehen für den Fall, dass Angreifer bereits in die IT-Umgebung eingedrungen sind. SySS unterstützt Unternehmen sowohl bei der vorsorglichen Absicherung als auch bei der strukturierten Bewältigung eines Sicherheitsvorfalls. Im Folgenden zeigen wir Ihnen, wie Prävention und Reaktion in der Praxis ineinandergreifen.

Angriffswege erkennen und absichern

Gemeinsam mit Ihnen prüfen wir, an welchen Stellen Angreifer wie DragonForce in Ihre IT-Umgebung eindringen könnten und wie sich diese Risiken begrenzen lassen. Dafür empfiehlt sich ein aufeinander abgestimmtes Maßnahmenpaket:

• Beschäftigte sensibilisieren: Mit Phishing-Simulationen prüfen wir unter realitätsnahen Bedingungen, wie Mitarbeitende mit manipulierten Nachrichten umgehen, und leiten daraus passende Schulungsmaßnahmen ab.
• Bedrohungen frühzeitig erkennen: Threat Intelligence liefert Hinweise auf geleakte Zugangsdaten, kompromittierte Systeme und aktuelle Aktivitäten im Cybercrime-Umfeld.
• Sicherheitskontrollen erproben: Beim Red Teaming untersuchen unsere IT Security Consultants, wie wirksam technische und organisatorische Schutzmaßnahmen einem koordinierten Angriff standhalten.
• Schwachstellen schließen: Regelmäßige Sicherheitsprüfungen und zeitnahe Updates erschweren die Ausnutzung bekannter Schwachstellen in öffentlich erreichbaren Systemen.
• Zugänge absichern: Multi-Faktor-Authentifizierung und ein kontrollierter Umgang mit administrativen Berechtigungen reduzieren das Risiko durch gestohlene oder erratene Anmeldedaten.
• Wiederherstellung vorbereiten: Regelmäßige Backups mit mindestens einer vom Netzwerk getrennten Kopie schaffen eine belastbare Grundlage für die Wiederaufnahme des Betriebs.

Bei einem Sicherheitsvorfall strukturiert reagieren

Besteht der Verdacht auf einen Angriff, sollten betroffene Systeme nicht vorschnell verändert oder neu gestartet werden, da dadurch relevante Spuren verloren gehen können. Unsere IT-Experten erfassen zunächst das Ausmaß des Vorfalls, begrenzen eine weitere Ausbreitung und stimmen die technischen Maßnahmen mit dem Incident Management sowie dem Krisenstab ab.

Parallel dazu untersucht die IT-Forensik Datenträger, Protokolldaten und verdächtige Netzwerkaktivitäten, um den Angriffsweg und die betroffenen Bereiche nachzuvollziehen. Auf dieser Grundlage unterstützt SySS Sie dabei, kompromittierte Systeme sicher zu bereinigen, den Betrieb kontrolliert wiederaufzunehmen und geeignete Maßnahmen aus den gewonnenen Erkenntnissen abzuleiten.

Widerstandsfähigkeit gegen DragonForce Ransomware systematisch stärken

Eine belastbare Cybersicherheitsstrategie entsteht, wenn Unternehmen ihre Systeme regelmäßig aus der Perspektive realer Angreifer prüfen und die daraus gewonnenen Erkenntnisse in ihre Sicherheitsarchitektur überführen. SySS begleitet seit 1998 zahlreiche Organisationen im DACH-Raum auf diesem Weg und zählt zu den führenden Anbietern für herstellerunabhängige Pentests. Gemeinsam mit unseren IT Security Consultants entwickeln Sie Ihre Sicherheitsmaßnahmen kontinuierlich weiter und schaffen verlässliche Strukturen, die Ihre IT gegenüber DragonForce und vergleichbaren Ransomware-Bedrohungen langfristig widerstandsfähiger machen.