Malware: Hackergruppe greift Russland mit Conti-Ransomware an

NB65 verwendet den geleakten Quellcode der pro-russischen Ransomware Conti, um russische Organisationen wie Roskosmos anzugreifen.

Artikel veröffentlicht am 11. April 2022, 11:39 Uhr, Moritz Tremmel

Ransomware verschlüsselt die Rechner der Betroffenen. (Bild: mohamed_hassan/Pixabay)

Die Hackergruppe NB65 greift russische Organisationen mit der Schadsoftware der Ransomwaregruppe Conti an. Deren Quellcode sowie interne Informationen der Gruppe wurden kürzlich geleakt, nachdem sich Conti im Ukrainekrieg auf die Seite Russlands gestellt hatte und Verbindungen zum russischen Staat haben soll.

Laut dem Onlinemagazin Bleepingcomputer besteht die von NB65 eingesetzte Schadsoftware zu rund zwei Dritteln aus dem Quellcode von Conti. Demnach werden bei den Angriffen auf russische Organisationen, wie bei Ransomwareattacken üblich, interne Daten kopiert und auf den Rechnern der Organisation verschlüsselt.

Auch ein Schreiben mit dem Namen R3ADM3.txt hinterlässt NB65. Darin wird der Angriffskrieg gegen die Ukraine kritisiert und betont, dass das Geschehen sehr genau verfolgt werde: "Ihr Präsident hätte keine Kriegsverbrechen begehen sollen. Wenn Sie nach jemandem suchen, den Sie für Ihre derzeitige Situation verantwortlich machen können, suchen Sie einfach Wladimir Putin", heißt es in der Datei.

Entsprechend begründet die Gruppe ihre Angriffe mit dem Massaker im ukrainischen Butscha: "Nach Butscha haben wir uns dafür entschieden, bestimmte Unternehmen ins Visier zu nehmen, die zwar in zivilem Besitz sind, aber dennoch Auswirkungen auf die Fähigkeit Russlands haben, normal zu arbeiten", erklärte NB65 Bleepingcomputer. Sobald Russland den Angriffskrieg gegen die Ukraine beende, werde man auch die Angriffe einstellen. Ziele außerhalb Russlands greife man nicht an.

Russische Raumfahrtbehörde und Rundfunkanstalt gehackt

NB65 will die von ihnen eingesetzte Variante der Conti-Ransomware dabei so modifiziert haben, dass eine Entschlüsselung mit der Software von Conti nicht möglich sei. So soll für jeden Angriff ein eigener Verschlüsselungskey generiert werden. Zu den Einrichtungen, die von der Gruppe angegriffen wurden, gehören laut Bleepingcomputer unter anderem die russische Raumfahrtbehörde Roskosmos und die staatliche Fernseh- und Rundfunkanstalt WGTRK.

Bei Letzterer sollen rund 780 GByte Daten kopiert worden sein, darunter 900.000 E-Mails und 4.000 Dateien. Diese wurden von der Wikileaks-Alternative Distributed Denial of Secrets (DDosecrets) veröffentlicht. Das Portal hatte zuvor auch Daten aus einem Hack der russischen Zensurbehörde Roskomnadsor veröffentlicht.