Threat Actor Intelligence Wie Markenbildung und Zuordnung im Cybercrime funktioniert

Ein Name hilft Sicherheitsteams, Cyberangriffe einzuordnen, beweist aber weder Identität noch Verantwortlichkeit. Entscheidend sind Taktiken, Infrastruktur, Tools und Angriffspfade hinter den bekannten Aliasnamen.

Die Namen von Cyberkriminellen klingen oft recht einfach. LockBit. Fancy Bear. BlackCat. Scattered Spider. Anonymous Sudan. Jeder dieser Namen vermittelt den Eindruck einer klar umrissenen Gruppe mit einer definierten Identität. Der Name sagt jedoch selten alles aus. Dieser Beitrag wirft einen Blick hinter die Kulissen der „Threat Actor Intelligence“.

Manche Namen werden von Angreifern gewählt. Andere werden von Forschern, Sicherheitsanbietern, Strafverfolgungsbehörden oder öffentlichen Datenbanken vergeben. Ein Name kann für eine Ransomware-Marke, eine Hacktivisten-Identität, eine Forschungsbezeichnung, eine Kampagne, eine Malware-Familie oder ein über verschiedene Vorfälle hinweg beobachtetes Aktivitätscluster stehen.

Für Sicherheitsexperten ist diese Unterscheidung wichtig. Werden von Angreifern geschaffene Identitäten mit von Forschern vergebenen Bezeichnungen verwechselt, kann dies dazu führen, dass Teams die Informationslage falsch einordnen, Zusammenhänge zwischen Aliasnamen übersehen oder sich auf den Namen statt auf das dahinterstehende Verhalten konzentrieren.

Wie Bedrohungsakteure ihre Namen erhalten

Die Benennung von Bedrohungsakteuren beginnt in der Regel entweder durch Sichtbarkeit oder durch Ermittlungen. Wenn eine Gruppe Aufmerksamkeit erregen will, stellt sie sich möglicherweise öffentlich über eine Leak-Seite, einen Telegram-Kanal, eine Lösegeldforderung, ein Cyberkriminalitätsforum oder ein öffentliches Bekennerschreiben vor. Dies ist bei Ransomware-Gruppen und Hacktivisten-Kollektiven üblich, denn die Anerkennung zahlt auf das Erreichen ihrer Ziele ein. Der Name wird Teil ihrer Kommunikation, Rekrutierung, Einschüchterung oder der Bekennung zur Verantwortung.

Von Sicherheitsforschern zugewiesene Namen haben einen anderen Ursprung. Analysten stellen möglicherweise wiederkehrende böswillige Aktivitäten über verschiedene Opfer, Umgebungen, Tools, Infrastrukturen oder Techniken hinweg fest und benötigen eine Möglichkeit, diese nachzuverfolgen. Die Bezeichnung hilft dabei, Vorfälle miteinander zu verknüpfen, Erkenntnisse zu vergleichen und Risiken an die Verteidiger zu kommunizieren. MITRE ATT&CK beschreibt Gruppen als Aktivitätscluster, die in der Sicherheits-Community unter einem gemeinsamen Namen erfasst werden und weist darauf hin, dass verschiedene Organisationen unterschiedliche Namen für ähnliche Aktivitäten verwenden können.

Mit anderen Worten: Von Angreifern gewählte Namen sind oft öffentliche Identitäten. Von Forschern zugewiesene Namen sind häufig analytische Abkürzungen zur Nachverfolgung von Verhaltensweisen.

Dominant im RaaS-Markt

Wer ist RansomHub?

Wenn der Name zur Marke wird

Für Ransomware-Gruppen kann ein Name geschäftlich relevanten Wert haben. Er kann die Gruppe für Opfer, Partner, Journalisten und andere Kriminelle wiedererkennbar machen. Ein kurzer, einprägsamer Name kann einer Gruppe helfen, in der Verborgenheit des internationalen Cybercrimes eine Reputation aufzubauen.

Der Ruf unterstützt zudem die Erpressungskampagne. Wenn Opfer glauben, dass eine Gruppe bereits zuvor Daten geleakt, große Organisationen lahmgelegt oder Drohungen wahr gemacht hat, kann der Name die Position während der Verhandlungen stärken. Die Marke wird also Teil der Erpressungsstrategie.

Hacktivisten-Gruppen nutzen Namen zudem auf eine andere Weise. Ihre Namen verweisen oft auf ein Anliegen, eine Region, eine Ideologie oder ein Ziel. Das Ziel ist nicht nur technische Störung, sondern auch öffentliche Sichtbarkeit. Ein Name hilft dabei, den Angriff als politisches oder soziales Statement zu inszenieren, und gibt Unterstützern, Medien und Zielen eine klare Identität, der sie folgen können. Von einigen Angreifern gewählte Namen sollten daher als Botschaft verstanden werden und nicht nur als interne Identifikation. Der Name verrät den Verteidigern, wie die Gruppe wahrgenommen werden möchte, doch erst das Verhalten hinter dem Namen zeigt, wie die Gruppe tatsächlich vorgeht und welche Ziele sie verfolgt.

Hacktivismus 2025: Sichtbarkeit statt Heimlichkeit

Wie Hacktivisten ihre Angriffe über Hashtags koordinieren

Von Forschern zugewiesene Namen folgen wiederum einer anderen Logik. Security-Analysten nutzen Namen, um verstreute Hinweise in etwas zu verwandeln, das Verteidiger nachverfolgen, vergleichen und diskutieren können. Ein Gruppenname kann auf wiederkehrender Infrastruktur, gemeinsam genutzten Tools, Malware-Familien, Command-and-Control-Mustern, IOCs, Zielauswahl, Opferprofil oder TTPs basieren. Der Name bietet Analysten die Möglichkeit, neue Beobachtungen mit älteren Aktivitäten in Verbindung zu bringen und diese Erkenntnisse an die Verteidiger weiterzugeben. Das bedeutet nicht immer, dass Forscher die tatsächlichen Personen hinter den Aktivitäten kennen. In vielen Fällen beschreibt der Name eher ein Verhaltensmuster als eine bestätigte Organisation.

Verschiedene Anbieter verwenden zudem unterschiedliche Benennungssysteme. Ein Unternehmen gruppiert Aktivitäten möglicherweise nach vermutetem Ursprung. Ein anderes nutzt Themen wie Tiere, Wetter oder andere interne Klassifizierungen. Das Ergebnis ist eine Bedrohungsinformationslandschaft, in der Namen dabei helfen, Aktivitäten zu ordnen, während Aliase und sich überschneidende Bezeichnungen Verwirrung stiften können.

APT29 zeigt als Beispiel auf, wie schnell die Benennung kompliziert werden kann. Ein einzelner Aktivitätscluster kann Bezeichnungen aus Anbieterangaben, öffentlichen Berichten, Untersuchungen im Rahmen der Incident Response sowie aus Threat-Intelligence-Datenbanken zusammenführen. Einige Bezeichnungen beziehen sich auf den übergeordneten Akteur. Andere beziehen sich auf damit verbundene Kampagnen, Malware oder Aktivitäten, die später mit demselben Cluster in Verbindung gebracht wurden. Die untenstehende Tabelle zeigt diese verschiedenen Namen für ein und denselben Bedrohungsakteur auf.

Pro-russische Hackergruppe

Wer ist NoName057(16)?

Warum eine Gruppe viele Namen tragen kann

Ein einzelner Angreifer kann unter mehreren Namen auftreten, da verschiedene Teams unterschiedliche Teile desselben Gesamtbildes betrachten. Ein Anbieter beobachtet möglicherweise die Phishing-Infrastruktur. Ein anderer analysiert Malware-Proben. Wieder ein anderer untersucht Daten zur Incident-Response. Öffentliche Datenbanken versuchen dann, diese Aliase einander zuzuordnen, damit Sicherheitsverantwortliche erkennen können, wann verschiedene Namen auf miteinander verbundene Aktivitäten hinweisen.

Namenswechsel fügen eine weitere Ebene hinzu. Ransomware-Gruppen können ihre Namen ändern, nachdem sie ins Visier der Strafverfolgungsbehörden geraten sind, Sanktionen verhängt wurden, Informationen durchgesickert sind, interne Konflikte aufgetreten sind oder ihr Ruf Schaden genommen hat. Der neue Name kann Distanz zur alten Marke schaffen, während die Gruppe weiterhin vertraute Tools, Partner oder Taktiken nutzt.

Die Ransomware-Analyse umfasst häufig die Erstellung eines Profils der Ideologie, der Führung, der Technologien, der TTPs, der Infrastruktur, der Tool-Qualität und der Beziehungen zu anderen Gruppen. Ein Abgleich von Code-Beispielen kann Analysten zudem bei der Einschätzung helfen, ob Überschneidungen auf eine Umbenennung, einen Ableger oder durchgesickerten Code hindeuten, der von mehreren Gruppen wiederverwendet wird.

Endgeräte als Einfallstor

Recovery nach Ransomware gelang keinem Unternehmen in 24 Stunden

Umbenennung, Ableger oder wiederverwendeter Code

Gemeinsamer Code beweist nicht automatisch, dass es sich um dieselbe Gruppe handelt. Malware kann verkauft, durchgesickert, wiederverwendet, modifiziert oder über Partnerprogramme weitergegeben werden. Gleiches gilt für Infrastruktur, Vorlagen für Lösegeldforderungen, Verhandlungsstile und Tools.

Security-Analysten benötigen Kontext. Wenn eine neue Gruppe Code verwendet, der mit einer älteren Ransomware-Operation in Verbindung steht, können Forscher Zeitabläufe, Infrastruktur, Opfermuster, Partner, Sprache, Verhalten und öffentliche Behauptungen vergleichen. Ein durchgesickerter Builder, der von mehreren unabhängigen Akteuren genutzt wird, erzählt eine andere Geschichte als ein privates Toolset, das von einer Markenbezeichnung zur anderen übertragen wurde.

An dieser Stelle erfordert die Namensgebung ein sorgfältiges Urteilsvermögen. Nicht jede Überschneidung muss bewertet jedoch erkannt werden, wann ein neuer Name mit älteren Aktivitäten in Verbindung steht.

Ransomware as a Service (RaaS)

Ransomware als professionelle Dienstleistung aus dem Darknet

Fazit

Namen von Bedrohungsakteuren helfen Sicherheitsteams dabei, Informationen zu organisieren, Kampagnen zu verfolgen, die Zielauswahl zu verstehen und Risiken zu kommunizieren. Der Name gibt Verteidigern einen Ausgangspunkt, während der eigentliche Wert aus den dahinterstehenden Beweisen resultiert.

Sicherheitsexperten müssen über den Namen hinausblicken und die Verhaltensweisen, Tools, Schwachstellen, exponierten Systeme, Identitäten, die Infrastruktur sowie die Angriffspfade untersuchen, die mit diesem Akteur oder Cluster in Verbindung stehen. Eine Ransomware-Marke, eine Hacktivisten-Identität oder ein von Forschern zugewiesener Name wird dann nützlich, wenn er Sicherheitsteams dabei hilft zu verstehen, wie sich die Aktivität auf ihre Umgebung auswirken könnte.

Sicherheitsexperten hilft ein Exposure-Management dabei, die Bedrohungsinformationen in den Fokus zu rücken. Sie gehen dann von Namen zu den Ressourcen, Schwachstellen, Identitäten und Pfaden überzugehen, die in ihrer eigenen Umgebung ein Risiko darstellen könnten. Die Namen von Bedrohungsakteuren helfen dabei zu erklären, wer hinter der Aktivität stehen könnte. Das Exposure-Management zeigt, ob diese Aktivität die Organisation erreichen kann, wohin sie sich als Nächstes ausbreiten könnte, welche Korrekturmaßnahmen zuerst ergriffen werden sollten und wie diese sicher umgesetzt werden können.

Über den Autor: Daniel Dreier ist Area Manager DACH für Exposure Management bei Check Point Software.

Neuer Ansatz für Cyber-Risikomanagement

Warum Exposure Management das Schwachstellen-Management ablöst

(ID:50997379)