
Akamai-Forscher haben eine DDoS-Kampagne gegen einen Kunden von Akamai beobachtet. Dieser teilte mit, wahrscheinlich mit der berüchtigten Ransomware-as-a-Service (RaaS)-Gruppe REvil in Verbindung zu stehen. Da die REvil-Gruppe Berichten zufolge von der russischen Regierung im März 2022 aufgelöst worden sei, hat Akamai diesen Angriff untersucht und mit früheren Angriffen von REvil verglichen, um herauszufinden, ob der Angriff tatsächlich mit dieser Gruppierung in Verbindung stehen könnte.
Details zum Angriff
Am 12. Mai 2022 informierte ein Akamai-Kunde das Security Intelligence Response Team (SIRT)- über einen versuchten Angriff einer Gruppe, die behauptete, mit REvil in Verbindung zu stehen. Dabei handelte es sich um einen koordinierten DDoS-Angriff, der aus einer einfachen HTTP-GET-Anforderung bestand, die eine Nachricht an das Zielunternehmen enthielt. Das Unternehmen wurde aufgefordert, Bitcoins an eine Wallet-Adresse zu überweisen, um die Angriffe zu stoppen sowie seinen Geschäftsbetrieb in einem Land einzustellen. Für den Fall, dass man den Forderungen nicht nachkäme und das Geld nicht innerhalb des gewünschten Zeitrahmens bezahle, wurde ein Folgeangriff angedroht, der den Geschäftsbetrieb weltweit beeinträchtigen würde. Diese Kampagne beinhaltete die Zeichenfolge „REvil“ in der URL als Teil der Erpressungsnachricht.
Analyse des Angriffs und Vergleich mit bisherigen Angriffen von REvil
REvil hat in der Vergangenheit als Ransomware-as-a-Service (RaaS)-Anbieter agiert, der Toolkits und Fachwissen zur Verfügung stellt, um erfolgreiche Ransomware-Angriffe gegen Unternehmen durchzuführen. Normalerweise verschafft sich die REvil-Gruppe Zugang zu einem Zielnetzwerk oder einer Organisation und verschlüsselt oder stiehlt sensible Daten. Dabei wird eine Zahlung für die Entschlüsselung verlangt oder mit der Veröffentlichung sensibler Informationen gedroht. Dieser Angriff scheint eine „neue“ Vorgehensweise für die Gruppe zu sein, denn es wurde keine Ransomware eingesetzt. Es gibt zwar einen Präzedenzfall, in dem REvil DDoS als ein Mittel zur Erpressung einsetzt, aber diese Technik weicht von ihrer üblichen Taktik ab.
Darüber hinaus scheint dieser Angriff in gewisser Weise politisch motiviert zu sein und im Zusammenhang mit einem kürzlich ergangenen Gerichtsurteil über das Geschäftsmodell des Zielunternehmens zu stehen. In der Vergangenheit hat REvil offen verkündet, dass sie rein gewinnorientiert handeln. Bei keinem anderen der bisher gemeldeten Angriffe wurde REvil mit politischen Kampagnen in Verbindung gebracht.
Es ist zwar möglich, dass REvil DDoS-Erpressung als profitables Geschäftsmodell testet, aber es ist noch wahrscheinlicher, dass es sich in diesem Fall um das reine Schüren von Ängsten handelt. Wenn es um DDoS-Erpressung geht, sind Einschüchterungstaktiken das A und O. Und wie könnten Angreifer ihr Opfer besser zur Zahlung bewegen, als sie mit dem Namen einer bekannten Gruppe einzuschüchtern.
Schlussfolgerung
Ändert ein Angreifer seine Taktik, kann dies ein neues Geschäftsmodell sein, das zum Beispiel dem Ausbau von Fähigkeiten oder einer Spaltung innerhalb der Gruppe zugrunde liegen kann. Es kann sich aber auch um einen unbeteiligten Nachahmer handeln, der versucht, den Hype einer Gruppe auszunutzen, um mit kurzsichtigen und emotional reagierenden Opfern leichtes Geld zu verdienen. Eine genaue Aussage, welche der beiden Möglichkeiten in diesem Fall zugrunde liegt, kann Akamai zu diesem Zeitpunkt noch nicht treffen. Dennoch ist es das Ziel von Akamai, das Bewusstsein für solche Kampagnen zu schärfen, zumal Gerüchte über das potenzielle Wiederaufleben von REvil in den letzten Monaten in Umlauf gebracht worden sind.
Weitere Informationen finden Sie in dem aktuellen Blogbeitrag von Akamai: https://www.akamai.com/blog/security/revil-resurgence-or-copycat
Fachartikel

ChatGPT bei der Arbeit nutzen? Nicht immer eine gute Idee

Das Aktualisieren von Software-Agenten als wichtige Praktik der Cyberhygiene auf MSP-Seite

Kosteneinsparungen und Optimierung der Cloud-Ressourcen in AWS

CVE-2023-23397: Der Benachrichtigungston, den Sie nicht hören wollen

Wie sich kleine und mittlere Unternehmen proaktiv gegen Ransomware-Angriffe wappnen
Studien

Studie zeigt 193 Millionen Malware-Angriffe auf Mobilgeräte von Verbrauchern im EMEA-Raum

2023 State of the Cloud Report

Trotz angespannter Wirtschaftslage: die Security-Budgets steigen, doch der IT-Fachkräftemangel bleibt größte Hürde bei Erreichung von Security-Zielen

BSI-Studie: Viele Software-Produkte für Onlineshops sind unsicher

Wie Cloud-Technologie die Versicherungsbranche revolutioniert
Whitepaper

Arctic Wolf Labs Threat Report: Deutlicher Anstieg der erfolgreichen Fälle von Business-E-Mail-Compromise

Aufkommende Trends in der externen Cyberabwehr

Cyber-Sicherheit für das Management – Handbuch erhöht Sicherheitsniveau von Unternehmen

Aktueller Datenschutzbericht: Risiko XXL am Horizont

Vertrauen in die Lieferkette durch Cyber-Resilienz aufbauen
Unter4Ohren

Optimierung der Cloud-Ressourcen und Kosteneinsparungen in AWS

DDoS – der stille Killer

Continuous Adaptive Trust – mehr Sicherheit und gleichzeitig weniger mühsame Interaktionen

Datenschutz und -kontrolle in jeder beliebigen Cloud bei gleichzeitiger Kostensenkung, Reduzierung der Komplexität, Verbesserung der Datenverfügbarkeit und Ausfallsicherheit
