‍Und noch etwas anderes hebt Volcano Demon von anderen Cyberkriminellen ab. Denn die Hintermänner melden sich bei ihren Opfern telefonisch, um Druck auf die Verantwortlichen auszuüben und sie zur Zahlung des geforderten Lösegelds zu zwingen. Dazu setzen sie auf häufige, manchmal tägliche Drohanrufe von nicht identifizierten Nummern.

‍Ansonsten ähnelt die Vorgehensweise von Volcano Demon dem üblichen Schema: Bevor sie ihre Ransomware-Angriffe starten, lädt die Gruppe sensible Daten auf Command-and-Control-Server (C2). Diese gestohlenen Daten werden als Druckmittel verwendet, um die Opfer zur Kooperation zu zwingen. Die von den Angreifern hinterlassene Lösegeldforderung ist klar und deutlich: „Wenn Sie diesen Vorfall ignorieren, werden wir dafür sorgen, dass Ihre vertraulichen Daten der Öffentlichkeit zugänglich gemacht werden.“

‍Bisher fällt es Cybersicherheitsexperten schwer, die Kriminellen hinter Volcano Demon auszumachen. Die Gruppe löscht die Log-Dateien auf den kompromittierten Rechnern, bevor sie ihre Angriffe ausführt, was eine gründliche forensische Auswertung nahezu unmöglich macht. Doch gerade bei der Verfolgung der Angreifer könnte ihnen ihre besondere Vorgehensweise zum Verhängnis werden, denn im Gegensatz zu normalen Ransomware-Angriffen gibt es durch die Anrufe Aufnahmen der Drahtzieher mit Stimmen und Hintergrundgeräuschen. Eine genaue Auswertung dieser Sound-Dateien könnte die Ermittler in Zukunft auf die Spur der Erpresserbande bringen. Zusätzliche Hinweise könnten die Verbindungsdaten der Anrufe liefern. Es wird sich also herausstellen, ob die neue Einschüchterungstaktik von Volcano Demon aufgeht oder ob sie damit am Ende ein Eigentor geschossen haben.