DDoS: Prorussische Hacker attackieren vermehrt deutsche Webseiten

Im Fokus der Angreifer stehen vor allem Webseiten von Regierungsbehörden sowie von Unternehmen aus der Transport-, Logistik und Finanzbranche.

Artikel veröffentlicht am 18. Januar 2024, 10:43 Uhr, Marc Stöckel

Deutschland ist inzwischen ein beliebtes Angriffsziel einer prorussischen Hackergruppe. (Bild: pixabay.com / Pexels)

Die prorussische Hackergruppe NoName057(16), bekannt für das DDoS-Projekt DDoSia, hat es inzwischen offenbar vermehrt auf deutsche Ziele abgesehen. Sicherheitsforscher von Netscout haben jüngste Angriffskampagnen der Angreifer verfolgt und konnten nach eigenen Angaben mehr als 400 spezifische Webseiten identifizieren, die in den letzten Monaten von NoName057(16) attackiert wurden.

Im Durchschnitt führe die Hackergruppe acht Cyberangriffe pro Tag durch, vornehmlich auf Ziele in Ost- und Westeuropa, erklären die Sicherheitsforscher in einem kürzlich veröffentlichten Blogbeitrag. Der darin eingebundenen Karte zufolge ist Deutschland eines der bevorzugten Angriffsziele: 72 Angriffe auf insgesamt 40 verschiedene deutsche Webseiten erfassten die Forscher in den letzten Monaten.

Deutschland im Fokus der Angreifer

Ihren Fokus legen die Angreifer vor allem auf Webseiten von Regierungsbehörden, Transport- und Logistikunternehmen sowie Unternehmen aus dem Finanzsektor. Neben anderen deutschen Organisationen gehören wohl auch die Deutsche Telekom und ihre Kunden regelmäßig zu den Zielen der Hackergruppe.

Auch der unabhängige Sicherheitsforscher Kevin Beaumont verfolgt die Aktivitäten von NoName057(16) seit einiger Zeit. Erst vorgestern Abend teilte er via Mastodon eine Liste deutscher Angriffsziele. "NoName konnte Deutschland heute nicht leiden", erklärt er in seinem Beitrag. Die folgenden Webseiten wurden demnach attackiert:

• www.deutschebahn.com
• deutschlandticket.de
• www.nordwestbahn.de
• www.bundeskanzler.de
• www.bmz.de
• www.bundesfinanzministerium.de
• www.afs-bund.de
• www.mvg.de
• www.rmv.de
• www.vgn.de
• www.spd.de
• abo.bahn.de
• www.bvl.de
• www.dslv.org
• www.dachser.com
• www.bafin.de
• portal.mvp.bafin.de
• www.dbschenker.com
• www.hellmann.com

Schon am vergangenen Wochenende warnte Beaumont vor Angriffen auf einige Webseiten deutscher Kommunen und Verkehrsbetriebe. Aufgezählt wurden unter anderem jene der Städte Dortmund, Bremen, Rostock und Bielefeld sowie der Verkehrsgesellschaften MVG, VGN und RMV.

Hacker bezahlen Hacker für Teilnahme an DDoS-Angriffen

Nutzerdaten sind durch die Angriffe der prorussischen Hacker in der Regel nicht betroffen. Den Netscout-Forschern zufolge setzt NoName057(16) üblicherweise auf DDoS-Angriffe via HTTP- und HTTPS-Flooding. Das führt im Falle eines erfolgreichen Angriffs lediglich dazu, dass eine anvisierte Webseite für reguläre Besucher für eine begrenzte Zeit nicht mehr erreichbar ist.

Über das Projekt DDoSia motiviert NoName057(16) auch andere Cyberkriminelle, sich an ihren DDoS-Angriffen zu beteiligen. Teilnehmer werden abhängig von der von ihnen bereitgestellten Angriffskapazität mit Kryptowährungen bezahlt.

Der Angriffsverkehr stamme überwiegend aus legitimen CDN- und Cloud-Netzwerken, heißt es bei Netscout. "Ein breiter CIDR-basierter Filteransatz zur Entschärfung dieser Angriffe ist in vielen Kontexten kontraproduktiv, da er potenziell zu einer Überblockierung von legitimen Hosts in diesen Netzen führt", so die Forscher.