Hackerangriff auf Berlin: Mutmasslich russische Täter bieten brisante Daten im Darknet an
Christine Richter, Sprecherin der «Senat» genannten öffentlichen Verwaltung von Berlin, bestätigte Anfang Woche gegenüber der Deutschen Presse-Agentur (DPA):
Seit vergangenem Freitag biete die Ransomware-Gruppe die gestohlenen Daten im Darknet im Rahmen einer Versteigerung zum Kauf an. «Das Mindestgebot liegt bei 30 Bitcoin, also rund zwei Millionen Euro. Die Versteigerung läuft bis Freitag», sagte die Senats-Sprecherin. «Es muss davon ausgegangen werden, dass die Daten im Anschluss weiterveräussert oder ganz oder in Teilen veröffentlicht werden.»
Die Angaben der Senats-Sprecherin decken sich mit watson-Recherchen. Auf der Leak-Site von Rhysida finden sich Detailangaben zu angeblich rund 1,44 Millionen gestohlenen Dateien. Darunter sind auch als Verschlusssache klassifizierte Dokumente und vertrauliche Personendaten.
Brisant: Laut Darknet-Posting soll den Hackern auch eine «Schwachstellenanalysen zur Berliner Wasserversorgung» von KRITIS in die Hände gefallen sein. Die Abkürzung KRITIS steht in Deutschland für Kritische Infrastrukturen und meint Organisationen, Anlagen, Systeme und Netze, die für das Funktionieren von Staat und Gesellschaft unverzichtbar sind.
Warnung vor Fake-Kontakten
Das Nachrichtenmagazin «Der Spiegel» zitierte am Donnerstag aus einem Warnschreiben des Berliner IT-Staatssekretärs Florian Hauer, das an alle Staatsangestellten ging. Die Angreifer hätten einzelne Behördenmitarbeiter telefonisch und via Social Media erreicht. Sie versuchten, Verunsicherung zu stiften, «unter anderem durch direkte Kontaktaufnahmen oder täuschend echte, eventuell KI-generierte Anrufe».
Es bestehe ein hohes Risiko für raffinierte Täuschungsversuche: Anfragen von Personen, die sich als Bürger, Vertreter von Partnerbehörden oder externen Dienstleistern ausgäben, «könnten in Wahrheit von den Tätern oder Dritten stammen». Denkbar sei, dass die Angreifer so den Druck erhöhen und weitere Datenabflüsse provozieren wollen.
Im Warnschreiben heisse es:
Wer steckt dahinter?
Mutmasslich russische Gruppe
Rhysida ist eine kriminelle Vereinigung, die mit diversen Cyberattacken auf Ziele in Europa und den USA in den vergangenen Jahren in Verbindung gebracht wird.
Der Name Rhysida stammt ursprünglich aus der Biologie und bezeichnet eine Gattung von tropischen Hundertfüssern.
Erkenntnisse über personelle Verbindungen der Ransomware-Bande nach Russland oder gar zum russischen Staat liegen gemäss der Berliner Senats-Sprecherin nicht vor, sie könnten aber auch nicht ausgeschlossen werden.
Tatsächlich gehen IT-Sicherheitsexperten schon länger davon aus, dass die Akteure aus Russland oder der Gemeinschaft Unabhängiger Staaten (GUS) stammen – dem von Russland kontrollierten Bund früherer Sowjet-Staaten. Diesen Schluss legen technische Analysen zu Angriffen nahe.
Die IT-Sicherheitsfirma Cynet will im Rhysida-Schadcode russische Sprachschnipsel und Kommentare nachgewiesen haben, wie das Nachrichtenmagazin «Spiegel» schreibt. Zudem würden Formulierungen in Erpresserschreiben und auf der Leak-Site im Darknet auf Muttersprachler aus Russland oder dem ehemaligen sowjetischen Einflussbereich hinweisen.
Ein starker Beleg ist die Ähnlichkeit zu der früheren russischsprachigen Ransomware-Gruppe Vice Society. Forscher der IT-Sicherheitsfirma Check Point stellten signifikante technische Überschneidungen bei Cyberangriffen fest, den sogenannten Taktiken, Techniken und Prozeduren (TTPs).
Vice Society, das unter anderem für den verheerenden Cyberangriff auf die Westschweizer Gemeinde Rolle verantwortlich zeichnete, trat ab 2021 unter diesem Namen in Erscheinung und verschwand im Juni 2023 fast zeitgleich mit dem ersten Auftreten von Rhysida aus dem Darknet.
Behörden teilweise lahmgelegt
Rhysida operiert als Ransomware-as-a-Service (RaaS). Das heisst, die verantwortlichen Hintermänner setzen auf das kriminelle Geschäftsmodell der doppelten Erpressung: Einerseits wird versucht, Opfer-Systeme lahmzulegen, andererseit wird mit der Veröffentlichung gestohlener Daten gedroht.
Für solche Banden, die aus dem russischen oder asiatischen Raum heraus operieren, sind hochprofessionelle, arbeitsteilige Strukturen typisch. Dort werden Cyberkriminelle oft toleriert, solange sie keine Ziele im Inland angreifen.
Der Cyberangriff auf die Berliner Stadtverwaltung wurde am 14. August publik und legte lokale Behörden teilweise lahm. Nach bisherigen Erkenntnissen flossen vom 7. bis 12. August Daten in grossem Umfang ab. Der Regierende Bürgermeister der deutschen Hauptstadt, Kai Wegner, erklärte vergangenen Freitag, Berlin lasse sich nicht erpressen.
Quellen
- Mit Material der Nachrichtenagenturen SDA/DPA
- spiegel.de: Und dann meldeten sich die Hacker per Telefon (3. September)
- research.checkpoint.com: The Rhysida Ransomware: Activity analysis and ties to Vice Society (2023)
(dsc)
