Pro-russische Hackergruppe Wer ist NoName057(16)?

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

FAST LTA GmbH

FTAPI Software GmbH

Sie macht mit weltweiten DDoS-Angriffen von sich reden, hat Tausende Mitglieder mobilisiert und wird möglicherweise sogar von der russischen Regierung unterstützt: die Hackergruppe NoName057(16). Wer steckt hinter den Hacktivisten und wie arbeiten sie?

Die pro-russische Hacktivistengruppe NoName057(16) sorgt seit Beginn des Ukraine-Kriegs mit massiven DDoS-Kampagnen für Schlagzeilen. Ihr Vorgehen kombiniert klassische Cybercrime-Methoden mit politisch motiviertem Aktivismus. Der folgende Steckbrief liefert einen Überblick über Taktiken, Besonderheiten, Bedrohungslage und Schutzmaßnahmen – und zeigt, warum die Gruppe auch für deutsche Unternehmen und Behörden hochrelevant ist.

Cyberattacke auf Behörden

DDoS-Angriff legt über 30 Städte und Landkreise lahm

Zuletzt berichtete das Bundeskriminalamt (BKA) darüber, ein aus mehreren Hundert weltweit verteilten Servern bestehendes Botnetz abgeschaltet zu haben, das NoName057(16) zugeordnet wurde. An der Operation „Eastwood“ waren auch Strafverfolgungsbehörden aus den USA, den Niederlanden, der Schweiz, Schweden, Frankreich, Spanien und Italien beteiligt, die durch Europol und Eurojust unterstützt wurden. In Deutschland wurden daraufhin sechs Haftbefehle gegen russische Staatsangehörige beziehungsweise in der Russischen Föderation wohnhafte Beschuldigte erwirkt. Zwei davon werden beschuldigt, die Hauptakteure hinter NoName057(16) zu sein. Darüber hinaus wurde ein weiterer Haftbefehl durch die spanischen Behörden erlassen. Nach allen Beschuldigten wird international und teils öffentlich gefahndet. Außerdem wurden mehr als 1.000 bislang nicht vollständig identifizierte Unterstützer der Gruppierung mittels des genutzten Messengerdienstes Telegram über die behördlichen Maßnahmen informiert und auf die Strafbarkeit der Handlungen nach deutschem Recht aufmerksam gemacht.

Update: Prorussische Hacker bekennen sich zu Angriffen

Websites der bayerischen Staatsregierung attackiert

Wer steckt hinter NoName057(16)?

• Name: NoName057(16)

• Alias: NoName, NoName05716, teils auch als DDosia-Community bezeichnet

• Erste Aktivität: Anfang 2022, nach Beginn des russischen Angriffskriegs gegen die Ukraine

• Motivation: Pro-russischer Hacktivismus, geopolitisch motiviert, keine finanziellen Absichten

DDoSia-Projekt von NoName057(16)

Gamification hilft Hackern bei der Verbreitung von Malware

Wer sind die Opfer von NoName057(16)?

• Primäre Ziele: Behörden, Medien, Banken, kritische Infrastrukturen

• Fokusländer: Ukraine, NATO-Staaten, Deutschland, Polen, baltische Staaten

• Deutsche Angriffsziele: Kommunen, Stadtverwaltungen, Ministerien, Banken, Medienhäuser

Stadt Nürnberg findet Hackerangriff „ärgerlich“

DDoS-Attacken legen vier städtische Webseiten lahm

Vorgehensweise von NoName057(16)

Die Tactics, Techniques, and Procedures (TTPs) von NoName057(16) sind klar auf Schlagkraft und Reichweite ausgelegt. Ihre Haupttaktik besteht darin, mit einer hohen Frequenz Distributed-Denial-of-Service-(DDoS)-Angriffe zu fahren und so die Zielsysteme durch massenhafte Anfragen lahmzulegen. Die Koordination erfolgt größtenteils über offene Telegram-Kanäle, die zur Rekrutierung neuer Unterstützer, zur Ankündigung bevorstehender Attacken und zur Verbreitung propagandistischer „Erfolgsmeldungen“ nach erfolgten Angriffen genutzt werden.

Bei den Tools und der Infrastruktur setzt die Gruppe vor allem auf ihr eigenes Toolkit DDoSia. Dieses wurde zunächst in Python entwickelt, später jedoch nach Go portiert, um eine höhere Performance und plattformübergreifende Einsatzmöglichkeiten auf Windows, Linux, macOS und Android zu gewährleisten. DDoSia nutzt CPU-Threads, um eine besonders große Zahl an Netzwerkanfragen parallel abzufeuern. Zudem greift NoName057(16) auf einen Gamification-Ansatz zurück: Teilnehmer sammeln Punkte, die sich in Kryptowährungen umwandeln lassen, und können sich über Rankings messen. Zur Verschleierung der Herkunft des Datenverkehrs werden VPNs eingesetzt.

Darüber hinaus betreibt die Gruppe ein Botnetz, das durch den gezielten Einsatz von Malware verstärkt wird. Infizierte Systeme dienen dabei als zusätzliche „Feuerkraft“, um die Effektivität der Angriffe noch einmal zu steigern.

DDoS-Angriff

Prorussische Hacker legten Stuttgarter Website lahm

Besonderheiten von NoName057(16)

Zu den besonderen Merkmalen von NoName057(16) zählt vor allem ihr Crowdsourcing-Modell: Die Gruppe rekrutiert gezielt Freiwillige, die aus ideologischer Überzeugung an den Angriffen teilnehmen. Damit unterscheidet sie sich von klassischen Cybercrime-Gruppen, die in der Regel rein finanziell motiviert sind. Unterstützt wird diese Strategie durch einen ausgeprägten Gamification-Ansatz: Teilnehmer sammeln Punkte, die sich nach der Anzahl generierter Netzwerkanfragen bemessen und später gegen Kryptowährungen eingetauscht werden können. So schafft die Gruppe zusätzliche Anreize, die Aktivitäten kontinuierlich auszuweiten.

Neben der operativen Seite setzt NoName057(16) stark auf Propaganda. Cyberangriffe werden eng mit Desinformationskampagnen verknüpft, wodurch die technische Ebene der Attacken mit der Beeinflussung der öffentlichen Wahrnehmung kombiniert wird. Auffällig ist, dass die Gruppe trotz ihres hohen Werts auf Anonymität über eine bemerkenswert professionelle Organisation verfügt.

In Bezug auf die Attribution gehen Sicherheitsbehörden davon aus, dass NoName057(16) zumindest indirekt von Russland geduldet oder logistisch unterstützt wird. Die Gruppe wird offiziell als „Hacktivismus mit staatlicher Unterstützung“ eingestuft. Das Bedrohungsniveau für deutsche Unternehmen gilt daher als hoch – besonders für die öffentliche Verwaltung, kritische Infrastrukturen sowie für die Finanzbranche, die immer wieder im Fokus der Angriffe steht.

TTP-Analyse und Empfehlungen

BSI warnt vor russischem Geheimdienst

Schutz vor NoName057(16)

Um sich wirksam gegen die Angriffe von Gruppen wie NoName057(16) zu schützen, sollten CISOs und IT-Sicherheitsverantwortliche auf einen mehrschichtigen Ansatz setzen. Zentrale Bausteine sind der Einsatz spezialisierter DDoS-Mitigation-Provider wie Cloudflare, Akamai, Link11 oder Radware, die schädlichen Traffic bereits an der Peripherie herausfiltern. Ergänzend dazu empfiehlt sich die konsequente Traffic-Filterung und Ratenbegrenzung in Firewalls und Loadbalancern, um Überlastungen durch massenhafte Anfragen abzufangen. Zur Früherkennung verdächtiger Muster dienen SIEM- sowie IDS/IPS-Systeme, die Anomalien im Datenverkehr analysieren und im Ernstfall Warnungen auslösen. Ebenso wichtig sind Notfallpläne und regelmäßige Stresstests, mit denen Organisationen ihre Resilienz gegen Überlastungsszenarien realistisch prüfen können. Besonders im Fokus stehen hierbei verwaltungsnahe Einrichtungen, die Energie- und Finanzbranche sowie der Gesundheitssektor, da sie zu den bevorzugten Zielen von Hacktivisten zählen.

Für die Security-Community ist NoName057(16) ein prägnantes Beispiel für die Verschmelzung von Hacktivismus mit klassischen Cybercrime-Methoden. Die Gruppe verdeutlicht, wie Gamification-Ansätze Angriffe skalierbar machen, indem sie Massen freiwilliger Unterstützer mobilisiert. Gleichzeitig zeigt ihr Vorgehen, wie stark geopolitische Konflikte als Treiber für Cyberangriffe wirken. Nicht zuletzt macht das Phänomen deutlich, dass auch technisch vergleichsweise einfache Attacken, wenn sie massenhaft organisiert werden, enorme Auswirkungen auf Unternehmen und kritische Infrastrukturen haben können.

Gefahrenpotenzial durch DDoS-Angriffe steigt

Geoblocking als DDoS-Schutz reicht nicht mehr!

(ID:50522278)