Russland, China, Nordkorea und der Iran Staaten profitieren durch finanziell motivierte Cyberkriminalität

Anbieter zum Thema

Google Inc.

Fsas Technologies GmbH

FAST LTA GmbH

Cyberkriminalität bedroht vermehrt die öffentliche Sicherheit. Das zeigt ein aktueller Bericht von Google und Mandiant, welcher im Jahr 2024 auf fast viermal mehr Einbrüche durch finanziell motivierte Akteure reagiert hat als durch staatlich unterstützte Gruppen.

Ein Bericht der Google Threat Intelligence Group (GTIG), der sich auf Zahlen des IT-Sicherheitsunternehmens Mandiant stützt, zeigt, dass Russland, China und der Iran 2024 Cyberkriminalität gezielt eingesetzt haben, um ihre staatlich unterstützten Spionageoperationen durchzuführen. Zudem haben iranische und chinesische Spionagegruppen Ransomware genutzt, um ihre finanziellen Mittel aufzustocken. Nordkorea hingegen verfolgt primär finanziell motivierte Ziele. Das Land setzt Cyberoperationen gezielt ein, um Geld zur Unterstützung des Regimes zu beschaffen.

Russlands Einsatz cyberkrimineller Werkzeuge im Ukraine-Krieg

Seit der Invasion der Ukraine kämpft Russland mit operativem Druck und Ressourcenknappheit. Die Reaktion: Die Regierung hat die cyberkriminelle Gemeinschaft des Landes mobilisiert. Auch technische Werkzeuge wie auch Arbeitskräfte für Spionage- und Störaktionen wurden bereitgestellt. So wird die Gruppe „APT44“ vom russischen Militärgeheimdienst gesponsert. Bei APT44-Kampagnen in den Jahren 2022 und 2023 wurde Malware gegen Opfer in der Ukraine sowie Polen eingesetzt. In einer Kampagne zielten Spearphishing-E-Mails auf einen ukrainischen Drohnenhersteller ab.

Im Oktober 2022 setzte eine Gruppe, höchstwahrscheinlich APT44, Ransomware gegen Logistikunternehmen in Polen und der Ukraine ein. Im Juni 2017 führte die Gruppe am Unabhängigkeitstag der Ukraine einen Angriff durch.

FrostyGoop bedroht ICS

Diese Malware steckt hinter dem Heizungsausfall in der Ukraine

So clever verschleiert China Cyberattacken

Finanziell motivierte Cyberakteure sollen Chinas staatlich geförderte Spionage verschleiern und verstärken. Gruppen wie „APT41“ kombinieren den Einsatz von Ransomware mit dem Sammeln von Informationen. APT41 agiert aus der Volksrepublik. Die Gruppe führt höchstwahrscheinlich Angriffe im Auftrag des Ministeriums für Staatssicherheit aus. Neben staatlichen Spionagekampagnen gegen mehrere Branchen, hat APT41 eine lange Geschichte von finanziell motivierten Operationen.

APT41 hat auch andere chinesische Spionagegruppen unterstützt und gestohlene digitale Zertifikate von ihnen verwendet. Der US-Geheimdienst schreibt der Cybergruppe eine Operation zu, bei der COVID-Hilfsgelder in Millionenhöhe gestohlen wurden. Zudem hat die GTIG eine Operation identifiziert, die sich gegen staatliche und lokale Behörden richtet. Und auch der chinesische Spionageunternehmer „UNC2286“ soll Erpressungsaktionen mithilfe von Ransomware durchgeführt haben. Durch die absichtliche Vermischung von Ransomware-Aktivitäten mit Spionageangriffen unterstützt, erschwert die chinesische Regierung die Zuordnung der Angriffe.

Update: 10 Millionen Dollar Belohnung

Chinesische Hacker greifen kritische US-Infrastrukturen an

Irans Operationen mit finanziellem Fokus

Der Irans steht unter wirtschaftlichem Druck. Vermutlich ist das der Grund für Ransomware und Hack-and-Leak-Operationen von iranischen Akteuren. Im August 2024 haben FBI, CISA und DC3 eine gemeinsame Mitteilung herausgegeben, in der sie erklärt haben, dass iranische Hacker der Gruppe „UNC757“ mit Ransomware-Banden wie „No Escape“, „Ransomhouse“ und „ALPHV“ zusammengearbeitet haben. Die Hacker haben sich Zugang zu Netzwerken verschafft und es den Banden ermöglicht, Ransomware zu installieren.

Diebstähle von Kryptowährung als nordkoreanische Staatspolitik

Etwas anders agiert Nordkorea. Die Diebstähle nordkoreanischer Akteure konzentrieren sich auf Kryptowährungen und Blockchain-bezogene Plattformen. Sie dienen dazu, die Raketenprogramme, nukleare Ambitionen und die allgemeinen Betriebskosten des Regimes direkt zu finanzieren. Gleichzeitig werden so internationale Sanktionen umgangen.

Eine Gruppe, die mit dem nordkoreanischen Militärgeheimdienst Reconnaissance General Bureau (RGB) verbunden ist, ist die finanziell motivierte Gruppe „APT38“. Sie ist für den versuchten Diebstahl riesiger Geldsummen von Institutionen auf der ganzen Welt verantwortlich. Unter anderem durch Kompromittierung von Systemen der „Society for Worldwide Interbank Financial Telecommunication“ (SWIFT). In öffentlichen Berichten wird die Gruppe mit dem Einsatz von Geldkurieren und Casinos in Verbindung gebracht. Die Gelder sollen aus betrügerischen ATM- und SWIFT-Transaktionen abgehoben und gewaschen worden sein. Die Summe aus den öffentlich gemeldeten Raubüberfällen der Gruppe beläuft sich auf über 1,1 Milliarden US-Dollar. Nach Schätzungen hat die Gruppe erfolgreich über 100 Millionen US-Dollar erbeutet.

1,5 Milliarden Dollar gestohlen

Hacker aus Nordkorea des Bybit-Milliardenraubs verdächtigt

APT38 hat bei ihren Operationen auch zerstörerische Malware gegen ihre Zielnetzwerke eingesetzt, um sie nach dem Datendiebstahl funktionsunfähig zu machen. Google zufolge scheint APT38 nicht mehr aktiv zu sein. Zudem gebe es Anzeichen dafür, dass sich die ehemaligen Betreiber in anderen Clustern neu gruppieren. Einige dieser Gruppierungen haben es auf Kryptowährungs- und Blockchain-bezogene Unternehmen und andere Finanzunternehmen abgesehen.

Agenten als Bewerber für IT-Stellen

Was Sie über nordkoreanische Cyber-Akteure wissen müssen

(ID:50323077)