Ransomware-Attacke auf Migros-Tochter: Hacker drohen mit Leak, Sprecher beschwichtigt
Die Migros-Gruppe, eines der grössten Detailhandelsunternehmen der Schweiz, ist von einem Datendiebstahl betroffen. Eine berüchtigte Erpresser-Bande droht auf ihrer Darknet-Site damit, gestohlene Daten zu veröffentlichen – offensichtlich mit dem Ziel, Druck auf die Verantwortlichen auszuüben und sie dazu zu bringen, Lösegeld zu bezahlen.
Die Kriminellen haben eine 27 Gigabyte (GB) grosse «Sample»-Datei veröffentlicht und drohen mit einem «vollständigen Leak», wenn es nicht bald zu Verhandlungen komme.
watson hat am Mittwochmorgen beim Migros-Genossenschafts-Bund in Zürich nachgefragt. Der Leiter der Medienstelle schreibt per E-Mail:
Auf Nachfrage hin teilt der Migros-Sprecher mit:
Update 17. März: Recherchen von watson bestätigen die Darstellung der Migros-Medienstelle.
Wer sind die Hacker?
Die Ankündigung zur Migros erfolgte am Mittwoch, 16. März, auf der Leak-Site von «SunCrypt».
Das Ausmass des Datendiebstahls liess sich aufgrund der vorliegenden Informationen nicht abschätzen.
SunCrypt ist ein Anbieter von «Ransomware as a Service» (RaaS). Sprich: Kriminelle stellen anderen Kriminellen gegen eine finanzielle Beteiligung ihre Schadprogramme und IT-Infrastruktur zur Verfügung, um in fremde Netzwerke einzudringen, wertvolle Daten zu stehlen und zu verschlüsseln und anschliessend Geld vom Opfer zu erpressen.
Die SunCrypt-Malware wurde erstmals im Oktober 2019 gesichtet. Die Hintermänner dürften aus Russland stammen oder ihre Operationsbasis dort haben. Mitte 2020 gaben sie bekannt, dass sie einem «Kartell» von Ransomware-Banden beigetreten seien. Zu dieser kriminellen Vereinigung gehörten gemäss IT-Sicherheitsfachleuten die berüchtigten Gruppierungen Maze, LockBit und Ragnar Locker.
Die Migros-Gruppe reiht sich in eine lange Liste von Schweizer Ransomware-Opfern ein. Zuletzt erwischte es etwa den weltweit tätigen Flughafendienstleister Swissport und die Emil Frey Gruppe, Europas grössten Autohändler.
SunCrypt ist dafür bekannt, Opfer doppelt zu erpressen – das heisst, die Hacker «exfiltrieren» heimlich Daten aus dem kompromittierten Netzwerk und verschlüsseln anschliessend die Original-Daten. Dann fordern sie ein Lösegeld, einerseits für die Entschlüsselung dieser Original-Daten, andererseits dafür, dass sie die gestohlenen Informationen nicht an Dritte verkaufen oder Kopien öffentlich zugänglich machen.
Quellen
- acronis.com: SunCrypt adopts attacking techniques from NetWalker and Maze ransomware
- tetradefense.com: Suncrypt Malware Analysis
- medium.com: Case Analysis of Suncrypt Ransomware Negotiation and Bitcoin Transaction
