Mit staatlicher Unterstützung: Iranische Hacker setzen auf Ransomware

Microsoft hat die Aktivitäten von sechs iranischen Hackergruppen analysiert, die hinter Wellen von Ransomware-Angriffen stecken, die seit September 2020 alle sechs bis acht Wochen auftreten. Russland wird oft als die Heimat der größten cyberkriminellen Ransomware-Bedrohungen angesehen, aber auch staatlich gesponserte Angreifer aus Nordkorea und dem Iran haben ein wachsendes Interesse an Ransomware gezeigt.

Laut Microsoft nutzen iranische Hackergruppen Ransomware, um entweder Geld einzutreiben oder ihre Ziele zu stören. Sie seien „geduldig und hartnäckig“, während sie sich mit ihren Zielen beschäftigten – obwohl sie auch aggressive Brute-Force-Angriffe einsetzten, so Microsoft.

Die konsequenteste der sechs iranischen Bedrohungsgruppen ist eine, die Microsoft als Phosphorus bezeichnet (APT35). Microsoft spielte in den letzten zwei Jahren mit dieser Gruppe Katz und Maus. Ursprünglich war die Gruppe demnach für Cyberspionage bekannt. Inzwischen soll sie Ransomware in die Netzwerke ihrer Ziele einschleusen und zur Verschlüsselung von Dateien ihrer Opfer die Laufwerksverschlüsselung Bitlocker einsetzen.

Nach Angaben von Microsoft hatte es Phosphorus zuletzt auch auf nicht gepatchte Exchange-Server sowie Fortinets FortiOS SSL VPN abgesehen, um Ransomware zu installieren. „Nach der Kompromittierung des ursprünglichen Servers (über ein anfälliges VPN oder Exchange Server) wechselten die Angreifer zu einem anderen System im Netzwerk des Opfers, um Zugriff auf höherwertige Ressourcen zu erhalten“, schreibt das Microsoft Threat Intelligence Center (MSTIC) in einem Blogpost. „Von dort aus setzten sie ein Skript ein, um die Laufwerke auf mehreren Systemen zu verschlüsseln. Die Opfer wurden angewiesen, sich an eine bestimmte Telegram-Seite zu wenden, um für den Entschlüsselungsschlüssel zu bezahlen.“