Malware-as-a-Service (MaaS) ist ein Geschäftsmodell der Cyberkriminalität: Schadsoftware und die passende Infrastruktur werden nicht mehr selbst entwickelt, sondern gemietet, gekauft oder im Abonnement bezogen. Der Name lehnt sich an Software-as-a-Service an — nur dass hier die „Dienstleistung" eine kriminelle ist.
Wie funktioniert Malware-as-a-Service?
MaaS-Anbieter entwickeln und pflegen die Schadsoftware, ihre Kunden („Affiliates") übernehmen die Verbreitung. Dafür gibt es Preislisten, Bedienoberflächen, Updates und oft sogar Support — ähnlich wie bei legitimer Software. Das bekannteste Beispiel ist Ransomware-as-a-Service (RaaS): Die Affiliates verschlüsseln die Systeme ihrer Opfer, der Anbieter stellt Lösegeld-Verhandlungen und Entschlüsselungs-Tool, und die Beute wird geteilt, häufig im Verhältnis 70 zu 30 oder 80 zu 20 zugunsten der Affiliates.
Das Ökosystem deckt inzwischen fast jede Stufe der Angriffskette ab: sogenannte Loader für den ersten Zugang, Infostealer für gestohlene Zugangsdaten, Phishing-Kits, Banking-Trojaner und komplette Ransomware-Pakete. Dazu kommen Dienstleistungen wie Bulletproof-Hosting, Verkehr von Botnetzen oder gekaufte Zugänge von Initial-Access-Brokern.
Warum ist das gefährlich?
MaaS senkt die Einstiegshürde drastisch: Wer keine eigenen Programmierkenntnisse hat, kann trotzdem komplexe Angriffe durchführen. Die Spezialisierung macht die Angriffe zugleich professioneller und schwerer abzuwehren. Bekannte Beispiele sind die Ransomware-Banden REvil und DarkSide sowie der Dropper Emotet, dessen Infrastruktur zeitweise an andere Gruppen vermietet wurde.
Erkennung und Abwehr
Gegen MaaS hilft keine einzelne Maßnahme: aktuelle Systeme und Patch-Management schließen die Lücken, die Loader ausnutzen; IDS/IPS und EDR erkennen die Schadsoftware, und geschulte Mitarbeiter erkennen Phishing-Mails, die den ersten Zugang liefern.
Verwandte Grundlagen: Malware, Ransomware, Exploit.