Hintergrund zu Lockbit und der Operation Cronos
Wer die Webseite der berüchtigten Hackerbande Lockbit besuchte, fand üblicherweise Informationen zu den neuesten Opfern der Cyberkriminellen. Am Montagabend stand jedoch nur eine Mitteilung: Die National Crime Agency des Vereinigten Königreichs hat die Kontrolle über die Lockbit-Website übernommen, in Zusammenarbeit mit dem FBI und der internationalen Strafverfolgungs-Task-Force „Operation Cronos“.
Dem vorausgegangen war eine monatelange Operation internationaler Ermittler, wie von Europol mitgeteilt. An der Operation waren mehrere Länder beteiligt, darunter Deutschland, Frankreich, Japan, die Schweiz, Kanada, Australien, Schweden, die Niederlande und Finnland. Neben der Abschaltung der Webseite und anderer kritischer Infrastruktur wurden auch zwei Akteure der Gruppe in Polen und der Ukraine festgenommen. Die Gruppe wird in Sicherheitskreisen mit Russland in Verbindung gebracht, und über 200 Kryptowährungskonten in Verbindung mit der Hackergruppe wurden eingefroren.
In Fachkreisen wird vermutet, dass die Strafverfolgungsbehörden eine nicht gepatchte Schwachstelle in der Skriptsprache PHP ausnutzten, was eine Ironie darstellt, da das Ausnutzen solcher Sicherheitslücken typischerweise zum Geschäftsmodell von Lockbit gehört.
Auswirkungen und mögliche Folgen
Die Taktik der Strafverfolgungsbehörden gegenüber Cyberkriminellen hat sich geändert, indem sie vermehrt die Infrastruktur der Hacker zerstören. Diese Aktion gegen eine der weltweit größten Cybercrime-Gangs, wie Lockbit, zeigt nach Ansicht von Cybersicherheits-Experten wie Rüdiger Trost von WithSecure, dass selbst die stärksten Spieler besiegt werden können. Die Frage bleibt, wie tiefgehende Einblicke die Ermittler in die internen Prozesse und Kommunikationen von Lockbit gewonnen haben.
Es wird jedoch darauf hingewiesen, dass Lockbit in einem Markt tätig war, in dem Konkurrenten bereit sind, ihren Platz einzunehmen. Es ist möglich, dass sich die Gruppe auflöst, aber ihre Werkzeuge und Expertise an andere Hackergruppen weitergibt, ähnlich wie nach dem Aus der Hackergruppe Conti. Es wird auch spekuliert, dass Betreiber ihre Aktivitäten einschränken oder aufgeben könnten, besonders in Ländern, in denen Verhaftungen wahrscheinlicher sind.
Lockbit – Marktführer für Ransomware-Angriffe
Lockbit war bisher der Marktführer für Ransomware-Angriffe, bei denen ein Fünftel aller Angriffe im Jahr 2023 mit Lockbit-Software verübt wurden. Die Bande infiltriert die Systeme von Unternehmen oder Behörden, verschlüsselt Daten und verlangt Lösegeld. Die Schäden durch Ransomware-Angriffe, Diebstahl von IT-Ausrüstung, digitale Industriespionage und Sabotage für 2023 werden auf 206 Milliarden Euro geschätzt.
Die Arbeitsweise von Lockbit
Lockbit agierte als Dienstleister im Reich der Cyberkriminellen: Sie stellten Schadsoftware bereit, während verbundene Kriminelle die eigentlichen Angriffe durchführten und die Verhandlungen mit den Opfern führten. 80 Prozent des erpressten Lösegeldes gingen an die Lizenznehmer, der Rest an Lockbit.
Hoffnung für die Opfer
Einige betroffene Unternehmen, wie der deutsche Autozulieferer Continental oder die britische Post, können nun hoffen, ihre Daten wiederherstellen zu können, da die Ermittlungsbehörden knapp 1000 Entschlüsselungscodes sichergestellt haben. Es wird Opfern von Ransomware empfohlen, eine Kopie ihrer verschlüsselten Daten aufzubewahren, da es nie ausgeschlossen ist, dass der Entschlüsselungscode auftaucht.
