DarkSide, Ransomware-as-a-Corporation (RaaC) & IAB Ein Blick auf den Angriff der US-Pipeline Colonial

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

Liferay GmbH

Der Cyber-Angriff auf die US-Pipeline Colonial ist der jüngste Vorfall einer Reihe an Angriffen auf kritische Infrastrukturen in den USA. Und es ist nur eine von hunderten Ransomware-Attacken, die Unternehmen und Organisationen seit dem letzten Jahr terrorisiert. Ein Blick auf die Hintermänner, ihre Taktiken, Techniken und Prozeduren (TTPs) sowie mögliche Gegenstrategien.

Der Angriff auf die Pipeline startete an einem Freitag, ein Tag, der bei Cyberkriminellen besonders beliebt ist, da in der Regel das Sicherheitsteam von Unternehmen gerade am Wochenende oft unterbesetzt ist. Über den genauen Verlauf, die Taktiken und Methoden der Angreifer, ist nicht viel bekannt. Die Folgen waren jedoch unmittelbar: Colonial stellt vorübergehend alle Aktivitäten ein und begann, gemeinsam mit Sicherheits- und Forensikexperten an der Wiederherstellung der IT-Infrastruktur zu arbeiten. Nur wenige Tage später bestätigte das FBI, dass es sich um einen Angriff der Ransomware-Gruppe DarkSide handelt.

Wer ist DarkSide?

DarkSide wurde von mehreren Ransomware-Akteuren ins Leben gerufen und erschien erstmals im August 2020 auf dem Radar der Cybersecurity-Community. In einer Pressemeldung im Darknet kündigte die Gruppe den Start ihrer Geschäftstätigkeiten an und versprach, „das perfekte Produkt“ anzubieten.

Tatsächlich stellt die DarkSide Malware nichts wirklich Neues im Ransomware-Sektor dar. Was die Angreifer besonders macht, ist die unternehmensähnliche Herangehensweise an das Ransomware-Geschäft. Das professionelle Auftreten und die Kommunikation mit Opfern und anderen Akteuren soll Vertrauen und Zuverlässigkeit signalisieren und die Bereitschaft zum Zahlen von Lösegeld erhöhen. Ein Trend, der als Ransomware-as-a-Corporation (RaaC) bekannt ist und auch bei Ransomware-Gruppen wie DoppelPaymer, Sodinokibi, Maze und NetWalker zu beobachten ist.

Zur Unternehmenskultur von DarkSide gehört nach eigener Aussage auch ein moralischer Kodex. So erklärten die Akteure in ihrer Pressemeldung, sicherheitskritische Einrichtungen wie Schulen, Krankenhäuser oder Regierungsbehörden von Ransomware-Angriffen zu verschonen. Ähnliche Versprechungen sind nicht ungewöhnlich unter Cyberkriminellen. Zu Beginn der Corona-Pandemie sprachen sich viele Akteure dafür aus, die Krise nicht zu ihrem Vorteil zu nutzen. An der Flut an Phishing-Kampagnen, dem florierenden Schwarzhandel im Darknet und den Angriffen auf die Pharmabranche und Impfstofflogistik änderte das jedoch nichts.

Der Ransomware-Angriff auf die Düsseldorfer Uniklinikum im vergangenen Jahr, bei dem nur noch die Hälfte der etwa 1.000 Patienten versorgt werden konnte, zeigt, dass es für öffentliche Einrichtungen keine Sonderbehandlung gibt. In Florida gelangten Hacker Anfang des Jahres in die Aufbereitungsanlage für Trinkwasser verhundertfachten den Anteil von gefährlichem Natriumhydroxid im Wasser. Und die IT-Systeme der TU Berlin sind nach dem Hackerangriff im April noch immer gestört.

Es geht um (viel) Geld

DarkSide veröffentlichte wenige Tage nach dem Angriff auf Colonial ein Statement, indem es die Verbindung der Gruppe zu einer Regierung vehement abstritt. Zuvor waren Vermutungen laut geworden, die Ransomware-Gruppe werde von Russland staatlich gesteuert. Sowohl das Angriffsziel als auch sprachliche Besonderheiten im Erpresserschreiben würden darauf hinweisen. Auch US-Behörden gehen davon aus, dass es sich um russische Cyberkriminelle handelt. Russland selbst hat eine Beteilung von staatlicher Seite mittlerweile dementiert.

DarkSide verfolgt nach eigener Aussage rein finanzielle Motive. Die Auswahl potenzieller Unternehmen und Organisationen basiert allein auf deren Umsatz bzw. Finanzkraft. Deshalb ist anzunehmen, dass sich auch die Lösegeldforderungen nach dem „Wert“ des jeweiligen Angriffsziels richten und in die Millionenhöhe gehen. Wie die meisten Ransomware-Gruppen geht auch DarkSide sehr gezielt vor und kundschaftet seine Opfer im Vorfeld sorgfältig aus, ehe es ein maßgeschneidertes Ransomware-Programm erstellt. Eine beliebte Quelle für Wirtschafts- und Geschäftsdaten ist unter anderem die B2B-Datenbank ZoomInfo, die auch DarkSide zu nutzen scheint.

Ein Blick auf frühere DarkSide-Operationen legt die Vermutung nahe, dass die Angreifer über einen kompromittierten bzw. gehackten Fernzugriff (Remote Access) in das Netzwerk von Colonial Pipeline eindrangen. Das Angebot für diese Fernzugriffe im Darknet hat seit dem letzten Jahr einen neuen Höchststand erreicht – angefeuert durch COVID-19 und den massenhaften Umzug von Mitarbeitern ins Home-Office. Verkauft werden die Remote-Zugänge von sogenannten Initial Access Brokers (IAB), die als Mittelsmänner agieren und eine wichtige Rolle im Ransomware-Ökosystem einnehmen. Laut FBI nutzen Ransomware-Angreifer in 70-80% der Fälle RDP (Remote-Desktop-Protokoll) als Einfallstor. Auch DarkSide könnte auf diesem Weg ins Netzwerk von Colonial Pipeline gelangt sein.

Kritische Infrastrukturen im Visier

Der Schaden von Cyberangriffen auf kritische Infrastrukturen – egal ob Energie- und Trinkwasserversorgung, Universitäten oder das Gesundheitssystem – ist jedoch nicht allein finanziell zu bemessen. Als Reaktion auf den Hackerangriff auf Colonial hat die US-Regierung den regionalen Notstand für 17 Bundesstaaten ausgerufen. Die Pipeline transportiert nach Angaben des Betreibers 45% aller an der Ostküste verbrauchten Kraftstoffe und versorgt mehr als 50 Millionen Amerikaner.

Die zunehmende Konvergenz von Information Technology (IT) und Operational Technology (OT) setzt kritische Infrastrukturen einem besonderen Risiko aus – angefangen bei böswilligen Cyber-Akteuren über Hacktivisten bis hin zu staatlich oder kriminell organisierten Gruppen. Umso wichtiger ist es, die Vorteile, Risiken und Kosten, die mit einer Anbindung der OT an das Internet einhergehen, genau zu prüfen.

Zentrale Sicherheitsmaßnahmen

Grundsätzlich gelten dabei für kritische Infrastrukturen dieselben Sicherheitsprinzipien und Präventivmaßnahmen wie bei jedem anderen IT-Netzwerk. Zu den Best Practices zählen:

• Kritische OT-Systeme sollten, wenn möglich, offline betrieben und nur für nötige Aktionen (z.B. Patches, Updates) kurzfristig mit dem Internet verbunden werden.

• Ein sorgfältig ausgearbeiteter Notfallplan, Playbooks zur Simulation von Angriffen sowie eine genaue Aufgaben- und Rollenverteilung innerhalb der Sicherheits-Teams hilft, im Ernstfall schneller und effizienter zu reagieren.

• Maßnahmen zur Cyber-Hygiene sind grundlegend, unabhängig davon wie selbstverständlich sie erscheinen. Dazu gehören: regelmäßige Backups und Datensicherung, Segmentierung von Netzwerken und Multi-Faktor-Authentifizierung.

• Digitale Risiken zu erkennen, ehe sie zu echten Bedrohungen werden, hat höchste Priorität. Entsprechende Monitoring- und Cyber Threat Intelligence (CTI)-Tools können helfen, über den Tellerrand der eigenen IT zu blicken und Bedrohungs-Akteure, TTPs und Trends im Open, Deep und Dark Web im Auge zu behalten.

• Transparenz in der OT-Umgebung ist entscheidend, um potenzielle Bedrohungen zu erkennen, abzuschwächen und darauf zu reagieren. Im aktuellen Advisory der National Security Agency (NSA) finden sich dazu detailliertere Verteidigungsstrategien für vernetzte Operational Technology.

*Der Autor: Stefano de Blasi, Threat Researcher bei Digital Shadows

(ID:47432820)