Was die Zerschlagung von Lockbit für die Hackerwelt bedeutet

Wer die Webseite der berüchtigten Hackerbande Lockbit besucht, findet dort üblicherweise Informationen zu den neuesten Opfern der Cyberkriminellen. Am Montagabend aber stand auf der Lockbit-Seite nur eine Information: „Diese Website steht jetzt unter der Kontrolle der National Crime Agency des Vereinigten Königreichs, die eng mit dem FBI und der internationalen Strafverfolgungs-Task-Force ,Operation Cronos’ zusammenarbeitet.“ Dem war eine monatelange Operation internationaler Ermittler vorausgegangen, teilte die europäische Strafverfolgungsbehörde Europol dann am Dienstag mit. An der „Operation Cronos“ beteiligt waren Deutschland, Frankreich, Japan, die Schweiz, Kanada, Australien, Schweden, die Niederlande und Finnland. Die Ermittler haben nach eigenen Angaben nicht nur die Webseite und andere kritische Infrastruktur der Hacker abgeschaltet, sondern auch zwei Akteure der Gruppe in Polen und der Ukraine festgenommen. In Sicherheitskreisen ist man sich sicher, dass die Gruppe ihren Ursprung in Russland hat. Die Behörden haben zudem mehr als 200 Kryptowährungskonten eingefroren, die mit der Hackergruppe in Verbindung stehen. In Fachkreisen geht man davon aus, dass die Strafverfolgungsbehörden eine nicht gepatchte Schwachstelle in der Skriptsprache PHP ausgenutzt haben. Das entbehrt nicht einer gewissen Ironie, ist das Ausnutzen solcher ungepatchten IT-Sicherheitslücken doch üblicherweise das Geschäftsmodell Lockbits und seiner Partner. Alte Hacker unter neuem Label? Strafverfolgungsbehörden haben in den vergangenen Jahren ihre Taktik gegenüber Cyberkriminellen geändert: Weil die Verhaftung einzelner Akteure sich ob ihrer Herkunftsländer oft als schwierig erweist, zerstören die Strafverfolger immer öfter die Infrastruktur der Hacker. „Man muss den Ermittlungsbehörden zu diesem Schlag gegen eine der weltweit größten Cybercrime-Gangs gratulieren“, kommentiert Cybersicherheits-Experte Rüdiger Trost von WithSecure. Die Aktion habe Signalwirkung: „Selbst die stärksten Player können besiegt werden.“ Die Frage sei nun, wie tiefen Einblick die Ermittler in die internen Funktionen und Kommunikationen von Lockbit gewonnen haben. Es gelte aber zu bedenken, „dass Lockbit in einem Markt agiert, in dem Wettbewerber nur darauf warten, ihren Platz einzunehmen“, sagt Sandra Joyce vom Cybersicherheitsspezialisten Mandiant, der inzwischen zu Google gehört. Auch Trost hält es für ein denkbares Szenario, dass zwar die Gruppe zerbreche, aber sich ihre Werkzeuge und Expertise an andere Hackerbanden verteile. Genau so sei es nach dem Aus der Hackergruppe Conti gelaufen. Insbesondere in Ländern, in denen die Strafverfolgungsbehörden bereit sind, Verhaftungen vorzunehmen, würden einige Betreiber aber wahrscheinlich aus Angst ihre Aktivitäten einschränken oder vollkommen aufgeben, hofft Charles Carmakal, Technikchef bei Mandiant Consulting. Der König der Ransomware-Welt Lockbit war bisher der Marktführer für sogenannte Ransomware-Angriffe, ein Fünftel aller derartigen Attacken sollen 2023 mit Lockbit-Software verübt worden sein. Dabei infiltrieren die Angreifer die Systeme von Unternehmen oder Behörden, verschlüsseln möglichst viele und wichtige Daten und verlangen dann Lösegeld für die Rückgabe. Wer nicht zahlt, dessen Daten werden immer öfter auch publiziert. Der Digitalverband Bitkom beziffert die Schäden durch Diebstahl von IT-Ausrüstung und Daten sowie digitale und analoge Industriespionage und Sabotage für 2023 auf 206 Milliarden Euro. Lockbit agierte dabei im hochgradig arbeitsteiligen Reich der Cyberkriminellen als eine Art Dienstleister: Die Bande stellt Schadsoftware bereit. Die tatsächlichen Angriffe führen dann geschäftlich verbandelte Kriminelle aus, sie führen auch die Verhandlungen mit den Opfern. 80 Prozent des erpressten Lösegelds gehen an die Lizenznehmer, der Rest an Lockbit. Für Aufsehen sorgten etwas Angriffe mit der Lockbit-Erpressersoftware auf den deutschen Autozulieferer Continental oder die britische Post. Einige betroffene Unternehmen können aber nun darauf hoffen, ihre Daten wiederherstellen zu können. Die Ermittlungsbehörden haben knapp 1000 Entschlüsselungscodes sichergestellt. Für Opfer von Ransomware ergebe es also immer Sinn, eine Kopie der verschlüsselten Daten aufzubewahren, rät Cybersicherheitsexperte Rüdiger Trost. „Es ist nie ausgeschlossen, dass der Entschlüsselungscode plötzlich auftaucht.“