Das Ziel seien Banken: DDoS‑Erpresser fordern “nur” 1 Bitcoin und drohen Verschlüsselung an

Die aktuelle Gruppe nennt sich „HACKER TEAM – Armada Collective“. Die Kriminellen haben laut Link11 mehreren Finanzinstitute in der vergangenen Woche (22.-28.08.2016) Erpresser-E-Mails geschickt. Allerdings scheint die Bedrohung durch die “Armada Collective”-Nachahmungstäter im Unterschied zu vielen anderen Copycats real, denn die Täter haben eine Warnattacke von 90 Gbps gelauncht. Und für 1 Bitcoin versprechen sie, Tipps zum schließen von Sicherheitslücken zu geben.

Finanzunternehmen und Banken in Deutschland drohen erneute DDoS-Erpressungen – sagt Link11. Wie schon im März 2016 und im Dezember 2015 fordern die Täter unter dem Pseudonym „Armada Collective“ Schutzgeld und kündigen DDoS-Attacken im dreistelligen Gbps-Bereich an: „We will produce a powerful DDoS attack – up to 300 Gbps.” Seit dem 26. August 2016 arbeitet das Link11 Security Operation Center (LSOC) in Kooperation mit den betroffenen Finanzunternehmen und den Behörden an den Ermittlungen.

Täter drohen mit DDoS-Attacken und Festplattenverschlüsselung

Zusätzlich zu DDoS-Attacken drohen die Erpresser auch mit der Verschlüsselung der Festplatten: „All data will be encrypted on computers Cerber – Crypto-Ransomware.“ Nach dem Kenntnisstand des LSOC ist es das erste Mal in der DACH-Region, dass Täter DDoS-Erpressung und Festplattenverschlüsselung kombinieren.

Weitere Auffälligkeiten dieser Erpresserwelle sind nach den Analysen des LSOC:

1. Das geforderte Lösegeld fällt mit 1 Bitcoin relativ niedrig aus: „You can stop the attack beginning, if payment 1 bitcoin to bitcoin ADDRESS…” Das Schutzgeld erhöht sich auf 20 Bitcoin, wenn das Opfer nicht zahlt. Aus abgewehrten DDoS-Erpressungen durch Gruppen wie Kadyrovtsy, DD4BC und das ursprüngliche Armada Collective kennt das LSOC jedoch deutlich höhere Schutzgeldforderungen, die zwischen 15 und 50 Bitcoins lagen.
2. Die Erpresser verwenden eine einzige Bitcoin-Adresse für alle angeschriebenen Unternehmen. Das LSOC hat unter der angegebenen Adresse für den 26.08.2016 schon einen Zahlungseingang über 1 Bitcoin registriert.
3. Der Text ist in holprigem und fehlerhaftem Englisch verfasst. Die Erpresserschreiben, die dem LSOC von verschiedenen Banken vorliegen, sind identisch.
4. Beim Versand betreiben die Täter mehr Aufwand als andere DDoS-Erpresser: Sie nutzen verschiedene E-Mail-Gateways.

90 Gbps – Warnattacke

Anders als frühere Nachahmer von Armada Collective oder Erpresser wie Caremini und RedDoor setzen die Erpresser die angekündigten Warn-Attacken in die Tat um. Das LSOC hat für ein Finanzunternehmen am 27.08.2016 einen DDoS-Angriff mit 90 Gbps abgewehrt. Dabei handelte es sich eindeutig um eine Botnetz-Attacke. Der Einsatz solcher großvolumiger Warnattacken ist bislang nur vom original Armada Collective sowie den international agierenden Erpresserbanden DD4BC und Kadyrovtsy bekannt.

Wiederholte DDoS-Erpressungen im Namen von Armada Collective

Schon im März 2016 hatten DDoS-Erpresser, die sich als das „Armada Collective“ ausgaben, Finanzunternehmen und Online-Shops in der Schweiz und in Deutschland mit großvolumigen Warnattacken unter Druck gesetzt. Davor setzten sie im Dezember 2015 Betreiber von Rechenzentren in Deutschland in Aufruhr. Anfang November 2015 hatte das LSOC einen ausführlichen Report zum originalen Armada Collective hier veröffentlicht.

Das Original-Erpresserschreiben