Steckt Nordkorea hinter der WannaCry-Attacke? Diese Hinweise gibt es

Der nordkoreanische Diktator begutachtet eine Rakete.Bild: EPA/KCNA

Steckt Nordkorea hinter der «WannaCry»-Attacke? Diese Hinweise gibt es

Sicherheitsforscher haben den «WannaCry»-Code untersucht und Ähnlichkeiten entdeckt, die zu staatlichen nordkoreanischen Hackern führen. Oder handelt es sich um eine «False Flag»-Geheimoperation der CIA?

Daniel Schurter

Das Wichtigste in Kürze:

• Der Lösegeld-Trojaner «WannaCry» enthält Programmiercode, den eine berüchtigte nordkoreanische Hackergruppe («Lazarus Group» genannt) geschrieben hat.
• Die Lazarus-Gruppe soll 2016 bei Hackerangriffen auf die Bank von Bangladesch 81 Millionen Dollar erbeutet haben. Auf ihr Konto gehen angeblich dutzende andere Angriffe auf Geldhäuser mehrheitlich im asiatischen Raum. Berühmt-berüchtigt wurden die Hacker 2014 durch den Angriff auf Sony Pictures, bei dem sie unveröffentlichtes Material erbeuteten.
• Dass der nordkoreanische Diktator Kim Jong-un hinter den jüngsten Verschlüsselungs-Attacken auf hunderttausende Windows-Computer weltweit steht, ist nicht bewiesen.
• Die Verwendung des zurückverfolgbaren Programmcodes könnte auch eine Geheimoperation (False Flag) eines Geheimdienstes sein, um eine falsche Spur zu legen.
• Seine Durchschlagskraft verdankt «WannaCry» einem Exploit (ETERNALBLUE) der NSA, den die Hackergruppe «The Shadow Brokers» zusammen mit anderen gestohlenen Profi-Hacker-Tools im April im Internet veröffentlicht hat.
• Die Hinweise sind jedoch ernst zu nehmen, sie stammen von Sicherheitsforschern, die bei Google, Symantec und anderen bekannten Unternehmen arbeiten und in akribischer Detektivarbeit nach den «WannaCry»-Entwicklern suchen.
• Die Forscher durchstöbern nun früheren Programmcode der «WannaCry»-Entwickler. Es gebe ältere Versionen des Lösegeld-Trojaners, die den entscheidenden Hinweis liefern könnten.
• Bislang hat sich kein Staat oder privates Unternehmen dazu geäussert, wer für die massive, am vergangenen Freitag lancierte «Ransomware»-Attacke verantwortlich ist.

Beweisen? Sehr schwierig

«Die Verortung dieser Art von Hackerangriffen gilt bei Sicherheitsforschern als wackelige Angelegenheit. Hier hört man immer wieder das geflügelte Wort ‹attribution is hard› (Schuldzuweisung ist schwer). Falsche Fährten sind so gut wie nicht von echten Hinweisen zu unterscheiden und auf Grund einzelner Schadcode-Samples solche Einschätzungen zu treffen, ist ein fast hoffnungsloses Unterfangen. Erkenntnisse zur Herkunft einzelner Hackergruppen verdichten sich meist über jahrelange Beobachtungen von deren Operationen. Und selbst dann bleiben oft viele Fragen offen.»

quelle: heise.de

Es werden unterschiedliche Opferzahlen genannt – sicher ist, dass mehrere hunderttausende Windows-Rechner befallen wurden

screenshot: comparitech.com

So viel Geld haben die Erpressten bislang auf Bitcoin-Konten überwiesen

The three bitcoin wallets tied to #WannaCry ransomware have received 223 payments totaling 35.65034193 BTC ($59,358.98 USD).

— actual ransom (@actual_ransom) 16. Mai 2017

Steckt Nordkorea hinter «WannaCry»?

Ja, klingt plausibelNein, da will jemand von den wahren Tätern ablenkenWeiss nicht

Abstimmen

An dieser Umfrage haben insgesamt 666 Personen teilgenommen

Sicherheitsforscher Costin Raiu vom Kaspersky Lab hat am Montag Hinweise publiziert

Shared code between an early, Feb 2017 Wannacry cryptor and a Lazarus group backdoor from 2015 found by @neelmehta from Google. pic.twitter.com/hmRhCSusbR

— Costin Raiu (@craiu) 15. Mai 2017

Wie auch der renommierte Experte Matthieu Suiche, der der Lazarus-Gruppe ebenfalls auf der Spur ist

#WannaCry — Links to Lazarus Group - https://t.co/qSnkyug8XH

— Matthieu Suiche (@msuiche) 15. Mai 2017

So berichtete die Sicherheitsfirma Kaspersky Lab über die «Banküberfälle» der Lazarus-Gruppe

Video: YouTube/Kaspersky

Die Vorgeschichte und was wir zu «WannaCry» wissen:

via Cyberscoop