Cyberkriminelle Gruppe aus Russland Bedrohung für Lateinamerika – Update

Am Vorabend des Präsidentenwechsels wurde Costa Rica im April Opfer eines schweren Cyberangriffs. Dieser zwang die Regierung dazu, mehrere IT-Dienste, insbesondere des Finanzministeriums, abzuschalten, was Zoll-, Steuer- und mehrere Finanzsysteme betraf. Nach wochenlangem Kampf gegen die Anschläge verhängte die Regierung des neu gewählten Präsidenten Rodrigo Chaves am 8. Mai den nationalen Notstand. Alles deutet darauf hin, dass es sich bei den Verantwortlichen für den Angriff um Hacker der Conti-Ransomware-Bande handelt, die darauf spezialisiert ist, sensible Daten von Regierungsbehörden zu erbeuten und öffentliche Plattformen anzugreifen. „Conti“ ist als internationale Organisation bekannt, die ihre kriminellen Aktivitäten auf Lateinamerika ausgedehnt hat und die Region öffentlich bedroht. Germán Fernández, Einsatzleiter bei der chilenischen „CronUp Ciberseguridad“, erklärt, dass diese Cyberkriminellen eine Art von Computerangriff verwenden, bei dem bösartige Software installiert wird, die sensible Dateien und Informationen entwendet. Fernández fügt hinzu, dass das Ziel der Hacker Erpressung ist, wie der Fall Costa Rica zeigt, wo ein Lösegeld in Höhe von zehn Millionen US-Dollar als Gegenleistung für die Nichtfreigabe der gestohlenen Informationen des Finanzministeriums gefordert wurde, die sensible Daten wie Steuererklärungen von Bürgern und Unternehmen in diesem Land enthalten.

Die in Russland ansässige „Conti“ wurde erstmals 2019 entdeckt und war 2021 eine der aktivsten cyberkriminellen Gruppen. Im November desselben Jahres war die Gruppe mit sechshundert Opfern seit ihrer Gründung diejenige, die die meisten Organisationen angegriffen hat. Zu den bekanntesten Attacken dieser Gruppe gehörte der Angriff auf das irische Gesundheitssystem im Jahr 2021, der zu einer Unterbrechung des Betriebs führte. „Conti“ hat auch zweiundzwanzig US-Gesundheitseinrichtungen sowie die Bereiche Fertigung, Lebensmittel, Finanzen, Banken, Technologie und Bauwesen ins Visier genommen. Zu den jüngsten Operationen gehören die Veröffentlichung von Daten, die aus dem Nationalen Nachrichtendienst Perus gestohlen wurden, sowie ein aktualisiertes Update des laufenden Angriffs auf die Regierung Costa Ricas, bei dem mehr als sechshundertzweiundsiebzig Gigabit an gestohlenen Daten erfasst wurden. Darüber hinaus versprach die Conti-Gruppe im Februar, die Feinde des Kremls anzugreifen, wenn sie auf den Einmarsch Russlands in der Ukraine reagieren würden. Zu den wichtigsten von „Conti“ genutzten Einstiegsvektoren gehören Phishing-E-Mails, RDP-Dienste, die dem Internet ausgesetzt sind und die Ausnutzung von Sicherheitslücken. Bei Phishing-E-Mails wurde die Verwendung von bösartigen Anhängen beobachtet.

Der orchestrierte Plan gegen die Region umfasst auch andere Ransomware-Gruppen, die Ziele in Lateinamerika erforschen und angreifen, wie z. B. „BlackCat“ (oder ALPHV), „ViceSociety“, „RansomEXX“, „Hive“ und „AvosLocker“. Daher fordert der CronUp-Vertreter die Verstärkung von Sicherheitsprotokollen in allen Regierungen, um Systeme und Informationen gegen die Wahrscheinlichkeit einer Infiltration und eines anschließenden Datenmissbrauchs zu schützen. Die Bewegungen der cyberkriminellen Gruppe haben tatsächlich verschiedene Organisationen aktiviert. So gab die Forschungsabteilung des auf Cybersicherheit spezialisierten Startups „Silikn“ eine Warnung heraus, wonach „Conti“ in den kommenden Tagen in mexikanische Regierungsbehörden eindringen könnte. Aufgrund des von „Conti“ erstellten Profils und der entdeckten Schwachstellen könnten in den nächsten zwei Wochen folgende staatliche Einrichtungen in Mexiko angegriffen werden: Instituto Mexicano del Seguro Social, Secretaría de Salud, Secretaría de Hacienda y Crédito Público, Petróleos Mexicanos, Banco de México, Secretaría de Bienestar und Fondo Nacional de la Vivienda para los Trabajadores.

Nach der Analyse von „Silikn“ ist die Gruppe in Lateinamerika weiterhin sehr aktiv und ändert ihre Strategien und Instrumente, um die Abwehr der Organisationen zu umgehen und mehr Einnahmen zu erzielen. Die Situation hat sich auch auf die US-Regierung ausgeweitet, die am vergangenen Freitag eine Belohnung von bis zu fünfzehn Millionen US-Dollar für Informationen über die russische Gruppe ausgesetzt hat. Die Belohnung umfasst zehn Millionen US-Dollar für die Identifizierung oder den Aufenthaltsort der Anführer der Gruppe und fünf Millionen US-Dollar für Informationen, die zur Festnahme von Personen führen, die mit „Conti“ konspirieren. Nach Angaben des Sprechers des Außenministeriums, Ned Price, schätzt das FBI, dass mehr als eintausend Opfer der Conti-Gruppe insgesamt mehr als einhundertfünfzig Millionen Dollar an Ransomware-Zahlungen geleistet haben.

Update, 17. Mai

Die Zahl der costaricanischen Einrichtungen, die im vergangenen Monat von einer Welle von Cyberangriffen betroffen waren, ist auf siebenundzwanzig gestiegen. Dies gab Präsident Rodrigo Chaves am Montag (16.) bekannt. Er fügte hinzu, dass neun der angegriffenen Institutionen, meist Regierungsbehörden, als „sehr betroffen“ gelten. Die Anschläge hätten „enorme“ Auswirkungen auf den Außenhandel und die Steuereinnahmen des zentralamerikanischen Landes gehabt, räumte Chaves knapp eine Woche nach seiner Vereidigung als Präsident gegenüber Reportern ein. „Wir befinden uns im Krieg – und das ist keine Übertreibung“, sagte Chaves bei seinem Amtsantritt am 8. Mai, als er den nationalen Notstand ausrief. Die Angriffe haben das Finanzministerium gezwungen, Costa Ricas Steuererhebungssysteme zu deaktivieren, obwohl eine Ersatzplattform einige Zolltransaktionen ermöglicht hat.