Aktive Crime-Gruppen in Deutschland
Erläuterungen und tabellarische Übersicht
Stand: 23.05.2024
Finanziell motivierte Angreifer zielen auf verschiedensten Wegen auf Vermögenswerte von Betroffenen ab. Von Betrugsmaschen über Diebstahl bis zu Erpressungen beobachtet das BSI tagtäglich neue Angriffskampagnen. Die Erpressung mit Ransomware und Datenleaks stellt dabei nach Einschätzung des BSI gegenwärtig die größte cyberkriminelle Bedrohung für Staat, Wirtschaft und Gesellschaft dar.
In den vergangenen Jahren beobachteten das BSI wie auch nationale und internationale Partner verstärkt sogenanntes Cybercrime-as-a-Service (CCaaS). Dabei werden Bestandteile eines Cyberangriffs an jeweils spezialisierte Angreifergruppen ausgelagert, vergleichbar mit dem Outsourcing von Dienstleistungen. CCaaS erlaubt es einem Angreifer, nahezu jeden Schritt eines Angriffs als Dienstleistung von anderen Cyberkriminellen oder zumindest die dafür notwendige Schadsoftware zu beziehen. Das Bereitstellen von Schadsoftware wird dabei als Malware-as-a-Service (MaaS) bezeichnet. Auf Ransomware spezialisierte MaaS werden Ransomware-as-a-Service (RaaS) genannt.
Angreifer, die Zugänge zu Netzwerken verkaufen, heißen Access Broker und die Dienstleistung Access-as-a-Service (AaaS). Emotet und QakBot sind zwei sehr bekannte Malware-Familien, die wahrscheinlich von Access Brokern eingesetzt wurden. Im vierten Quartal 2023 beobachtete das BSI verstärkt den Einsatz von PikaBot und DarkGate bei initialen Infektionen. Kompromittierungen mit diesen Malware-Familien resultieren häufig in Ransomware-Vorfälle.
Cyberkriminelle Angreifer werden nach Möglichkeit anhand der eingesetzten Schadsoftware und Vorgehensweise in Gruppen zusammengefasst. Folgend werden einige Angreifergruppen hervorgehoben, von denen nach Einschätzung des BSI eine erhöhte Bedrohung für deutsche Organisationen ausgeht. Das BSI beobachtet darüber hinaus weitere Angreifergruppen, die wahrscheinlich auch gegen deutsche Organisationen aktiv sind.
| Gruppenname | Besondere Eigenschaften | Beschreibung |
|---|---|---|
Alpha Spider - in dieser Form nicht mehr aktiv - |
|
|
| Bitwise Spider (a.k.a. Gold Mystic, White Janus, White Dev 66) |
|
|
| Brain Spider (a.k.a. White Ea) |
|
|
| Graceful Spider (a.k.a. ATK103, Chimborazo, DEV-0950, Dudear, FIN11, G0092, Gold Tahoe, Hive0065, Lace Tempest, SectorJ04, Spandex Tempest, TA505, White Austaras) |
|
|
| Honey Spider |
|
|
| Lunar Spider (a.k.a. Gold Swathmore, White Khione) |
|
|
| Mallard Spider (a.k.a. Gold Lagoon, White Horoja) |
|
|
| Mummy Spider (a.k.a. Gold Crestwood, TA542, White Taranis) |
|
|
| Punk Spider (a.k.a. White Lilith) |
|
|
| Recess Spider (a.k.a. White Peryton) |
|
|
| Scattered Spider (a.k.a. 0ktapus, Dev0671, Dev0875, Dev0971, Muddled Libra, Octo Tempest, Oktapus, Roasted 0ktapus, Scatter Swine, Scattered Swine, StarFraud, Storm-0875, UNC3944, White Dev 146) |
|
|
| White Kali (a.k.a. Frozen Spider) |
|
|
| White Dev 115 (a.k.a. Blackbasta, UNC3973) |
|
|
| White Fenrir |
|
|
| White Veles (a.k.a. DEV-0504, Velvet Tempest) |
|
|
Fussnoten:
1 Als zugangsbeschränkte MaaS werden diejenigen MaaS bezeichnet, welche offen um neue Affiliates werben und Affiliates zum Beispiel einen Bewerbungsprozess durchlaufen lassen, bevor diese Zugriff auf den Service erhalten.
2 Als geschlossene MaaS werden diejenigen MaaS bezeichnet, welche nicht offen um neue Affiliates werben. Der Service steht einer beschränkten Gruppe an Affiliates zur Verfügung und neue Affiliates kommen eher durch Einladungen hinzu.
Leak-Opfer-Statistik:
Seit 2021 gehen Ransomware-Angriffe in der Regel mit einem Datenleak einher. Die Erpressung mit Datenleaks ist gleichsam die digitale Form der Schweigegeld-Erpressung. Die kombinierte Erpressung mit Datenverschlüsselung durch Ransomware und Datenveröffentlichung durch Datenleaks wird als Double Extortion bezeichnet. Die Leak-Opfer-Statistik des BSI gibt Aufschluss über letzteres, d.h. die Opfer von Schweigegeld-Erpressungen. Zu diesem Zweck beobachtet das BSI sogenannte Leak-Seiten, auf denen Angreifer die Namen und die erbeuteten Daten von Opfern ihrer Ransomware-Angriffe veröffentlichen, wenn diese der Cybererpressung nicht nachgeben.
Über diese Leak-Seiten lassen sich also mutmaßliche Opfer erfassen, denen mit der Veröffentlichung ihrer Daten gedroht wurde. Die Leak-Opfer-Statistik ist insoweit keine Statistik über Ransomware-Angriffe, sondern über Opfer von Schweigegeld-Erpressungen. Daher wird auch von mutmaßlichen Opfern gesprochen, denn die Nennung auf einer Leak-Seite unter Kontrolle eines Angreifers bedeutet nicht zwingend, dass es tatsächlich auch zu einem Angriff kam. In einigen Fällen nennen Angreifer Namen auch nur zum Zwecke der Erpressung, ohne dass tatsächlich ein Angriff stattgefunden hat.
Mit der Beobachtung von Leak-Seiten wird nur ein Teil der Ransomware-Opfer erfasst. So werden in der Regel nur diejenigen Organisationen auf Leak-Seiten genannt und veröffentlicht, die die Zahlung eines Löse- oder Schweigegelds verweigern. Auch verwenden nicht alle Ransomware-Angreifer eine Leak-Seite. Ein großes Dunkelfeld an Ransomware-Opfern verbleibt daher. Deshalb gibt diese Erfassung auch keinen Aufschluss darüber, wie viele der tatsächlichen Opfer sich zur Zahlung eines Löse- oder Schweigegeldes entscheiden. Zudem gibt der Zeitpunkt der Veröffentlichung keinen Aufschluss über den Zeitpunkt des Ransomware-Angriffs, der bereits lange zuvor stattgefunden haben kann. Die Kategorisierung der so erfassten mutmaßlichen Opfer nach Ländern ist darüber hinaus nur eine Annäherung, da sie in der Regel nach dem Standort der Hauptniederlassung des mutmaßlichen Opfers erfolgt. Das angegriffene Netzwerksegment kann sich daher insbesondere bei global agierenden Unternehmen auch in anderen Teilen der Welt befunden haben.
Die Indizes aus der Abbildung messen das Nennen von mutmaßlichen Opfern auf Leak-Seiten. Dabei wird der Durchschnitt des Jahres 2021 als Grundlage herangezogen.
