Warum der Hackerangriff auf Basel-Stadt sehr speziell und potenziell verheerend ist
Am Mittwoch wurde publik, dass rund 1,2 Terabyte Daten des Basler Erziehungsdepartements im Darknet zugänglich sind. Sie sind die «Beute» von Cyberkriminellen, die mit ihrem Erpressungsversuch scheiterten und die Daten quasi als Bestrafung des zahlungsunwilligen Opfers publizierten.
Hinter dem massiven Datendiebstahl steckt eine Gruppe, von der die Öffentlichkeit bislang relativ wenig weiss. Der Schweizer IT-Sicherheitsexperte Marc Ruef, ein profunder Kenner der Ransomware-Banden, hat sich mit «BianLian» beschäftigt und ordnet den aussergewöhnlichen Fall ein.
Was ist an dieser Gruppierung besonders?
Die Attacke auf das Basler Erziehungsdepartement wurde Ende Januar publik gemacht. Dass die Erpresserbande «BianLian» dahintersteckt, ist erst seit dieser Woche bekannt.
Sicherheitsexperte Marc Ruef:
Dadurch hat die Gruppierung die Komplexität ihrer Angriffe verringert. Aber auch den eigenen Hebel im Erpressungs-Ansatz verringert. Sie spekulieren darauf, dass eine Veröffentlichung der Daten schmerzhaft genug sein wird, um eine Zahlung durch die Opfer zu erzwingen.
Das Vorgehen von BianLian ist in seinen Grundzügen sehr professionell und effizient. Die erbeuteten Daten umfassen oft mehrere Terabyte und kommen einer vollumfänglichen Kompromittierung gleich.»
Bereits seit Mitte Januar gibt es einen sogenannten Decryptor, das ist ein Hilfsprogramm, um die von BianLian verschlüsselten Dateien zu entschlüsseln. Dieses von der IT-Sicherheitsfirma Avast veröffentlichte Gratis-Tool dürfte auch der Grund dafür gewesen sein, dass die unbekannten Kriminellen ihre Vorgehensweise grundlegend geändert haben.
Ruef erklärt:
Hier ist anzumerken, dass der Plan der Kriminellen im vorliegenden Fall von Basel-Stadt nicht aufgegangen ist. Die Verantwortlichen versichern, sie hätten nichts bezahlt. Angeblich wurden überhaupt keine Verhandlungen geführt.
Was weiss man über die Herkunft der Kriminellen?
Bei unseren Recherchen zu BianLian fiel auf, dass in der bisherigen Berichterstattung im Gegensatz zu anderen Ransomware-Akteuren nie von Russland die Rede ist.
Der IT-Sicherheitsexperte erklärt:
Über die Herkunft wird noch immer gerätselt. Gewisse Sicherheitsfirmen meinen, Verbindungen zu Nordkorea identifiziert zu haben. Unsere eigenen Abklärungen zeigen Überlappungen mit Akteuren aus Russland, China, Deutschland und Spanien. Eine sichere Zuordnung ist momentan noch nicht möglich.
Die bisherigen Opfer finden sich hauptsächlich in Nordamerika, Westeuropa, Australien und Indien. Südamerika, Afrika und Eurasien stehen vorerst nicht im Fokus. Ob das an geopolitischer Ausrichtung, sprachlichen oder kulturellen Hürden liegt, kann momentan nicht gesagt werden.»
Die Malware ist in «Go» programmiert, was bringt das den Kriminellen?
Dazu sagt Marc Ruef:
Der langfristige Vorteil von Go ist, dass sich Programme einfach auf verschiedene Betriebssysteme kompilieren lassen. Es würde also nicht erstaunen, wenn die Gruppierung auch andere Plattformen wie Linux und macOS ins Visier nehmen wird. Momentan scheint man sich aber, wie die meisten anderen Ransomware-Gangs auch, auf Windows zu fokussieren.»
Was wissen wir über die geleakten Daten, die Basel-Stadt betreffen?
Marc Ruef hat die auf der Leak-Site zugänglich gemachten Daten näher angeschaut, wobei er betont:
Die Sichtung habe gezeigt, dass es sich um «858 ZIP-Dateien» handle, also komprimierte Daten, wobei «pro Datei ein kompromittiertes Windows-System» gegeben sei.
Der Sicherheitsexperte erklärt:
Die unbekannten Cyberkriminellen bekunden aber offenbar Mühe, die im Darknet zugänglich gemachten Opferdaten über einen funktionsfähigen Server anzubieten.
Ruef bestätigt:
Wie schlimm ist das Daten-Leak?
BianLian behauptet auf der eigenen Leak-Seite, dass beim Hackerangriff auf das Erziehungsdepartement «HR-, Finanz-, Buchhaltungs-, Studenten- und Mitarbeiterdaten» erbeutet wurden. «Die Pfadstrukturen deuten auf Mitarbeiter, Lehrer und Schüler hin», erklärt Ruef. Es fänden sich ebenso gewisse Vertragsinformationen und sogenannte NDAs mit externen Partnern, also Vertraulichkeitsvereinbarungen.
Dort finden sich dann die lokal abgelegten Dokumente. Die Datenmenge ist stark davon abhängig, welcher User wie viele Dokumente, Bilder, OneNote-Notizen etc. gespeichert hat. Inhalte des Windows-Papierkorbs sind ebenfalls vorhanden. Ebenfalls finden sich im Browser gespeicherte Passwörter und Formulardaten.»
Kann man aus den oben erwähnten fast 860 ZIP-Dateien schliessen, dass es sich um eine entsprechende Zahl von PC-Usern handelt, die vom Leak betroffen sind?
Dazu der IT-Sicherheitsexperte:
Die Hacker verschafften sich Zugriff auf das Netzwerk «eduBS» und breiteten sich dort via Sicherheitslücken aus. Das Netzwerk steht den Basler Lehrpersonen und Schülerinnen und Schülern zur Verfügung und ist vom kantonalen Datennetz isoliert. Entsprechend ist offenbar nur das Erziehungsdepartement vom Hackerangriff betroffen.
Es könnten zum Beispiel Noten, Lernberichte und Absenzen im Darknet gelandet sein, sagte Erziehungsdirektor Cramer. Nun werde das Informatik-Team eruieren, wer betroffen sei. Diese Personen würden direkt kontaktiert.
Aktuell gehen die Verantwortlichen davon aus, dass die Täter über einen PC, der sowohl privat als auch geschäftlich genutzt wurde, ins IT-System eindringen konnten. Solche Geräte benutzen beispielsweise Lehrpersonen.
Es sei davon auszugehen, dass der Datenraub sowohl über menschliche als auch technische Fehler zustande kam, sagte Thomas Wenk, Leiter Digitalisierung und Informatik beim ED. Der Cyberangriff könnte mit einer harmlos aussehenden Phishing-E-Mail losgetreten worden sein.
Der eigentliche Hackerangriff begann vermutlich um die Weihnachtsferien. Bemerkt wurde er erst, als sich die Täter Ende Januar mit dem Erpresserschreiben beim Kanton meldeten. Man muss davon ausgehen, dass sie zu jenem Zeitpunkt ihre Möglichkeiten ausgeschöpft, also wertvolle Daten in grosser Zahl gestohlen hatten.
Wie gross ist das Risiko von weiteren Angriffen?
Marc Ruef hat eine deutliche Warnung:
Dies zeigt sehr konkret, dass man das Thema Cybersecurity ernst nehmen und neue Schwachstellen schnellstmöglich adressieren sollte. Nur so kann das Zeitfenster für erfolgreiche Angriffe minimiert werden. Wer das nicht tut, könnte schon morgen ein lohnendes Opfer von BianLian oder einer anderen Ransomware-Gang werden.»
Quellen
- ed.bs.ch: Cyberkriminelle veröffentlichen Daten des Erziehungsdepartements im Darknet (Medienmitteilung)
- avast.io: BianLian Ransomware
