LSOC warnt vor aggressiver DDoS-Erpressergruppe XMR-Squad

Seit einigen Tagen erpresst eine neue Gruppe mit Namen XMR-Squad deutsche Unternehmen mit DDoS-Attacken. Eine entsprechende Warnung hat das Link11 Security Operation Center (LSOC) herausgegeben. DDoS-Erpressungen durch die bis dato unbekannte Gruppe sind erst seit dem 19. April 2017 bekannt. Die Erpresser zielen ohne erkennbare Logik auf Unternehmen aus verschiedenen Branchen und unterschiedlicher Größe in Deutschland. Der Webseite von LSOC zufolge zählen bis jetzt DHL, Hermes, AldiTalk, Freenet, Snipes.com, 3D Supply aber auch das LKA Niedersachsen sowie das Land NRW bereits zu den Opfern. Aktuell konzentriert sich XMR-Squad noch auf Unternehmen und Behörden in Deutschland. Eine Ausweitung auf die Nachbarländer Österreich und Schweiz ist jedoch laut LSOC nicht auszuschließen.

Die Täter gehen LSOC zufolge ähnlich wie die schon bekannten Erpresserbanden DD4BC, Kadyrovtsy und Stealth Ravens vor und erzeugen mit Demo-Attacken Druck bei ihren Opfern. Ihre Schutzgeldforderungen deklarieren sie als „Prüfung der DDoS Protection“. Die Täter posten Infos zu den (scheinbar) erfolgreichen DDoS-Attacken auf Twitter und auf der eigenen Hacker-Webseite . Dabei sollen sie ihren Online-Auftritt von Cloudflare schützen lassen. Der amerikanische Anbieter im Bereich DDoS-Schutz war in den vergangenen Monaten schon mehrfach dafür gerügt worden, dass er durch mangelnde Prüfung von Neukunden unter anderem auch kriminellen Aktivitäten Schutz bietet, wie Link11 berichtet. Das Content Delivery Network Cloudflare geriet erst im Februar in die Schlagzeilen, als es über einen Bug Daten von rund 5,5 Millionen Webseiten verloren hatte. Darunter befanden sich auch Passwörter und Authentifizierungs-Tokens.

Die Besonderheit an XMR-Squad ist, dass sie die Angriffe als eine Art Penetrationstest kommunizieren und für den Test eine Gebühr von 250 Euro verlangen. Nach Erfahrungen des LSOC ist der Betrag relativ niedrig. DDoS-Erpresser fordern gewöhnlich einen Betrag von 1 bis 5 Bitcoin. Das entspricht nach heutigem Kurs einem Betrag von 1.100 bis 5.700 Euro.

Unklar sei noch, ob XMR-Squad über ein eigenes DDoS-Tool verfüge oder ob die Täter die Attacken bei „DDoS-as-a-Service“-Anbietern in Auftrag geben. Sicher sei aber, dass die DDoS-Attacken XMR-Squad über eine große Schlagkraft verfügen müssen, wenn sie die IT-Infrastruktur von großen Logistikkonzernen überlasten können, so die Link11-Experten.

Die Täter suchen ganz offenbar die Öffentlichkeit. So lieferten sie dem Journalisten Mark Steier von Wortfilter.de in einem Telefonat sowie per E-Mail wichtige Informationen, wie die Experten von Link11 mitteilen. Steier vermutet auf Basis des mit der Gruppe geführten Telefonats, dass sie russische Wurzeln hat. Bei XMR handelt es sich um die Abkürzung für die dezentrale Kryptowährung Monero, die einen besonderen Fokus auf Privatsphäre legt. In seinem Blogbeitrag „Ursache der Störung nun bekannt: DHL hatte einen DDOS-Angriff“ fasst Steier die ihm vorliegenden Informationen zusammen. Hier veröffentlicht Steier auch eine Nachricht aus einer Twitter-Kommunikation, aus der hervorgeht, dass die XMR-Squad versuchte 250 Euro von DHL zu erpressen, damit letztlich aber keinen Erfolg hatte.

Nach Einschätzung des LSOC sind die Erpressungsversuche von XMR-Squad unbedingt ernst zu nehmen, auf sie eingehen sollte man aber nicht. Statt die Testgebühr zu zahlen empfehlen die DDoS-Schutzexperten von Link11 jedem Unternehmen, vorhandene Schutzsysteme zu aktivieren oder sich um geeignete Schutzmaßnahmen zu kümmern sowie den Hosting-Anbieter über die Erpressung zu informieren. Außerdem sollten attackierte Unternehmen Anzeige bei den Strafverfolgungsbehörden erstatten. Die Allianz für Cybersicherheit bietet eine Übersicht über die jeweiligen Meldestellen für Cybercrime in den einzelnen Bundesländern. Weitere Informationen, Reports und Warnmeldungen zum Thema DDoS finden sich auf der von Link11 eingerichteten Webseite .