DDoSia-Projekt von NoName057(16) Gamification hilft Hackern bei der Verbreitung von Malware

Anbieter zum Thema

FAST LTA GmbH

DDoS-Angriffe sind das beliebteste Mittel der pro-russischen Hackergruppe NoName057(16). Mit dem DDoSia-Toolkit und Gamification mobilisieren sie tausende Mitläufer – eine wachsende Gefahr für Behörden und Unter­nehmen.

Die Schlagzeilen sind voll von Distributed-Denial-of-Service-Angriffen. Vor allem staatlich motivierte Hacker nutzen sie als Waffe – in Deutschland insbesondere, um Kommunen und Stadtverwaltungen zu stören. Dabei macht immer wieder eine Hackergruppe besonders von sich reden: NoName057(16).

Cyberattacke auf Behörden

DDoS-Angriff legt über 30 Städte und Landkreise lahm

Wer steckt hinter NoName057(16)?

NoName057(16) ist eine pro-russische Hacktivistengruppe, die seit dem Beginn des Ukraine-Kriegs (2022) durch koordinierte DDoS-Angriffe auf Websites von Behörden, Medien, Banken und kritischen Infrastrukturen Schlagzeilen macht. Ihre Akteure sind nicht finanziell motiviert, sondern wollen Länder, Organisationen und Unternehmen schaden, die die Ukraine unter­stützen.

Haupttaktik von NoName057(16) ist es, DDoS-Attacken mit hoher Schlagzahl abzufeuern. Die Angriffe werden häufig über verschiedene Telegram-Kanäle angekündigt. Dort werden auch die Ergebnisse der Angriffe präsentiert. Während die Gruppe einen hohen Wert auf Anonymität legt, ist sie gleichzeitig äußerst professionell organisiert.

Update: Prorussische Hacker bekennen sich zu Angriffen

Websites der bayerischen Staatsregierung attackiert

Cyberangriffe als strategische Kriegswaffe

Neben Cyberangriffen verbreiten die Akteure auch Desinformation sowie propagandistische Inhalte. Die Aktivitäten von NoName057(16) werden von Sicherheitsbehörden und Experten als Hacktivismus mit staatlicher Duldung eingeschätzt. Möglicherweise erhält die Gruppe auch indirekte Unterstützung durch Russland. Forescout hat sich im Rahmen seines Reports „The Rise of State-Sponsored Hacktivism“ angesehen, was die Gründe für den enormen Anstieg hacktivistischer Aktivitäten sind. Klar ist dabei, dass geopolitische Konflikte hierbei als Kata­lysator wirken. Innerhalb internationaler Eskalationen nennen die Studienautoren drei zentrale Gründe:

• Polarisierte Meinungen und weltweite Aufmerksamkeit: Kriege und internationale Konflikte erfahren eine breite öffentliche Aufmerksamkeit. Somit haben es Cyberkriminelle leichter, Unterstützer zu mobilisieren und sich als Sprachrohr bestimmter Narrative zu positionieren.

• Hacktivismus spielt eine wachsende Rolle im Informationskrieg: Cyberkampagnen sind zu einem wichtigen Instrument geworden, um Narrative zu kontrollieren und die öffentliche Wahrnehmung zu beeinflussen. Dafür reichen mittlerweile auch technisch einfache Angriffe aus, um gezielt Meinungen zu manipulieren, etwa durch das Veröffentlichen manipulierter Daten oder durch medienwirksame Angriffe auf Regierungsstellen.

• Breiter Zugang zu Angriffstools: Weil die Werkzeuge für Cyberangriffe heute einfacher verfügbar sind, sind auch die Einstiegshürden in die Cyberkriminaltät gesunken. Auch Akteure, die nur über wenig technisches Wissen verfügen, sind in der Lage, Schadsoftware einsetzen oder industrielle Systeme zu stören.

„Angriff auf politische Willensbildung“

Hacker nehmen sich politischen Raum in Sachsen-Anhalt vor

Was ist das DDoSia-Projekt?

Eines dieser Tools, welches Gruppen und Einzelpersonen die Durchführung von DDoS-An­griffen erleichtert, ist das DDoSia-Projekt. Es wurde von NoName057(16) speziell für diese Art von Angriffen entwickelt und mittlerweile hauptsächlich für Attacken gegen Länder verwendet, die sich kritisch gegenüber der russischen Invasion der Ukraine ausgesprochen haben.

Myra Cybersecurity Report 1. HJ 2024

Dramatisches Wachstum schädlicher Traffic-Ströme

Wie Link11 berichtet, wurde das DDoSia-Toolkit ursprünglich in Python geschrieben und nutzt CPU-Threads, um möglichst viele Netzwerkanfragen gleichzeitig zu senden. Um noch effi­zien­ter zu arbeiten, hätten die Entwickler dann von Python auf Go gewechselt. Somit würde das Tool nun plattformübergreifend funktionieren, da Varianten für Windows, MacOS, Linux und An­droid zur Verfügung stünden. Mittlerweile hat das Projekt mehr als 10.000 Mitglieder. Diese würden neben DDoSia auch eine speziell entwickelte Malware erhalten, die NoName via Tele­gram zum Download bereitstelle und per ZIP-Archiv verteile. Diese Malware würden die DDoSia-Akteure auf Computersysteme einschleusen, die sie bereits kontrollieren, um damit das Botnetz von NoName zu vergrößern. Zur Verschleierung von IP-Adressen nutzt DDoSia VPNs (Virtual Private Networks).

DDoSia vermehrt Attacken mit Gamification und Belohnungssystem

Das Besondere bei DDoSia: Anders als klassische Botnetze setzt DDoSia stark auf Crowd­sourcing. Das bedeutet, es vergrößert sich mithilfe von Freiwilligen, die – im Falle von NoName057(16) aus ideologischen Gründen – mitmachen. Dabei setzt das Projekt auf Gamification und ein Belohnungssystem.

Je mehr Netzwerkanfragen ein Akteur generiert, desto mehr Punkte erhält er. Diese lassen sich dann in Kryptowährung umwandeln. Dafür bekommen die Hacker Link11 zufolge eine per­sönliche Identifikationsnummer zugeteilt, die mit einem Krypto-Wallet verknüpft ist.

Gefahrenpotenzial durch DDoS-Angriffe steigt

Geoblocking als DDoS-Schutz reicht nicht mehr!

Schutz vor DDoS-Attacken

Da NoName DDoSia stetig weiterentwickelt, gehen Cybersicherheitsexperten davon aus, dass das Projekt sich lange halten wird. Auch mit der verwendeten Malware, die an viele Betriebs­systeme angepasst ist, wird das Zielspektrum erweitert. Daneben sorgt die wachsende Com­mu­nity dafür, dass die Schadvarianten weiterentwickelt werden und das Botnetz mit neuen infizierten Systemen gefüttert wird.

Um sich vor Distributed Denial of Service zu schützen, sollten sie auf Mitigationsdienste wie Cloudflare, Akamai, Link11 oder Radware setzen. Solche Anbieter filtern bösartige Anfragen aus dem Datenverkehr. Außerdem begrenzen sie die Anzahl der Anfragen pro Client oder pro Zeitspanne oder verteilen die Anfragen auf mehrere Server, um eine Überlastung zu ver­hin­dern. Zudem helfen SIEM-Systeme (Security Information and Event Management) sowie IDS/IPS-Systeme (Intrusion Detection/Prevention) bei der Erkennung von Anomalien im Netzwerk und warnen bei ungewöhnlichen Traffic-Mustern. Gleichzeitig sollten Unternehmen einen Notfallplan für den Fall eines Überlastungsangriffs parat haben und diesen regelmäßig testen. Auch ein DDoS-Stresstest ist empfehlenswert, um herauszufinden, wie belastbar die eigene Infrastruktur wirklich ist.

Fünf entscheidende Maßnahmen nach einem Cyberangriff

Was tun wenn ich gehackt wurde?

(ID:50520597)