Welche sind die typischen Targets von Ransomware-Attacken?
Das kommt darauf an, von WEM diese ausgeführt werden.
In aller Regel sind das automatisierte Skripte, die meisten schon seit Jahren / Jahrzehnten verfügbar und meist auch Tools die für Security-Aufgaben geschrieben wurden. Diese kann jeder nutzen und viele werden auch gepflegt. Diese Skripte werden dann auf die Ziele losgelassen in der Hoffnung, dass diese Lücken noch nicht geschlossen wurden. Hat man was, lässt man den Trojaner "drübernudeln".
Das ist der klassische Weg und meist nicht mehr sonderlich erfolgreich. Da viele Firmen zu managed Services übergegangen sind, sind die Firewalls meist in der Lage diese Angriffe / Scans abzuwehren. Ausserdem trifft es viele kleine - aka. nicht lohnenswerte - und zufällige Ziele. Dort ist meist nichts zu holen, daher ist das eher was für Skript-Kiddies, die ihre Fähigkeiten erproben.
Für fortgeschrittene Kriminelle sind Spear- oder auch Whale-Phishing "Kampagnen" das Mittel der Wahl, die dank OSINT sehr, sehr gut auf die jeweilige Zielperson zugeschnitten sind und nur sehr schwer zu erkennen. Und hat das Opfer auch nur einmal auf das "falsche" geklickt, kann die Ransomware - von innen (!) - ihr Werk beginnen. Das klappt meist recht gut, weil SEHR viele Firmen noch immer zum Teil hoffnungslos veraltete Software bzw. Infrastruktur hinter ihrer Firewall, und obendrein das "Zero-Trust-Verfahren" höchstens rudimentär umgesetzt haben. Und auch neuere oder neueste Betriebssysteme sind knackbar.
Damit bekommt man meist weit lohnenswertere "Geschäftspartner" als wenn man im Internet nach irgendwas fischt.
Beispiel wäre JBS. (Wobei ich nicht weiß, ob die Opfer von Supply-Chain, Phishing oder 0-day wurden!)
Der letzte Schrei und zur Zeit recht erfolgreich sind die sog. Supply-Chain-Attacken bei denen einer weit genutzten und bei den Nutzern meist mit sehr hohen privilegien laufenden Software Funktionen eingeschleust werden, die - ebenfalls von innen heraus - nach Hause telefonieren und somit eine Attacke ermöglichen.
Prominente Beispiele sind Solarwinds und Kaseya.
Der "Charme" an der Sache ist, dass sich die Hacker einen Überblick über die Opfer machen können BEVOR diese überhaupt wissen, dass sie einen Schläfer in ihrer IT haben. (erschwerend hinzu kommt noch, dass die meisten dieser Programme - klassisch old school - auch noch von den Virusscans ausgenommen sind!) Und wenn das Opfer lohnenswert ist bzw. erscheint, DANN wird die Verschlüsselung getriggert und - sozusagen "der Geschäftsprozess" eingeleitet. Sonst nicht, und die Malware ggf. sogar gelöscht.
Hier kommt noch hinzu, dass diese Trojaner als Service angeboten werden. Das Bedeutet, dass Kriminelle mit speziellen Wissen - meist Spezifika über die potentiellen Opfer - die Dienste der Verschlüsseler mieten können. Der "Gewinn" also das Lösegeld wird dann geteilt.
Um also die Frage zu beantworten:
Es kommt darauf an, wer den Angriff startet und mit welchen Mitteln vorgegangen wird.