Laut der Webseite der britischen Post hatte sie am Freitag den 13. kein Glück: Die Royal Mail wurde Opfer einer Cyberattacke und kann aktuell keine internationalen Sendungen verarbeiten. Anscheinend hat ein Affiliate-Partner mit der LockBit-Ransomware zugeschlagen.
Zuerst dachte man bei der Royal Mail sofort an die LockBit-Gruppe, als die Rechner verschlüsselt waren und eine Lösegeldforderung als Ausdruck angezeigt wurde. Allerdings wurde in diesem Fall nur die LockBit-Werkzeuge, also die Ransomware, von einem Affiliate-Partner benutzt. Diese Partner nutzen die Ransomware und die Infrastruktur von LockBit und geben dafür einen hohen Prozentteil ihrer Beute ab. Für LockBit ist das Geschäft mit Ransomware und Erpressung so noch lohnender. Es steht auch fest, dass bei der Royal Mail ein Cybergangster-Affiliate-Partner zugeschlagen hat, denn auf der Leak-Seite von LockBit wird die Royal Mail nicht als Opfer geführt.
Royal Mail informiert die Kunden über die Cyberattacke
Auf seiner Webseite informiert die britische Post ihre Kunden zu dem Vorfall. „ROYAL MAIL INTERNATIONALE EXPORTDIENSTE, Royal Mail erlebt nach einem Cybervorfall eine schwerwiegende Dienstunterbrechung unserer internationalen Exportdienste.“
„Wir können vorübergehend keine Artikel ins Ausland versenden. Um eine schnellere Wiederherstellung zu unterstützen, bitten wir Kunden bis auf weiteres keine internationalen Artikel zu versenden. Damit soll eine Anhäufung von Exportartikeln in unserem Netzwerk zu verhindert werden. Bei bereits versandten Artikeln kann es zu Verzögerungen kommen. Wir möchten uns bei den betroffenen Kunden aufrichtig für die durch diesen Vorfall verursachten Störungen entschuldigen… Unsere Teams arbeiten rund um die Uhr daran, diese Störung zu beheben, und wir werden Sie informieren, sobald wir weitere Informationen haben. Wir haben umgehend eine Untersuchung des Vorfalls eingeleitet und arbeiten mit externen Experten zusammen. Wir haben den Vorfall unseren Aufsichtsbehörden und den zuständigen Sicherheitsbehörden gemeldet.“
Was war passiert?
The Telegraph berichtet, dass die Ransomware verschlüsselte Geräte angriff, die für den internationalen Versand verwendet wurden. Danach wurde die Lösegeldforderung nicht angezeigt, sondern auf Druckern gedruckt, die normalerweise für Zolldokumente verwendet wurden. Der Ausdruck mit der Lösegeldforderung besagt, dass sie von „LockBit Black Ransomware“ erstellt wurde. Das scheint eine neue oder eine Affiliate-Gruppe zu sein. Die Seite bleepingcomputer.com geht davon aus, dass die Ransomware Code und Funktionen der inzwischen stillgelegten BlackMatter-Ransomware-Gang enthält.
Der Ausdruck enthält auch mehrere Links zu Tor-Datenleck-Sites und Verhandlungsseiten der LockBit-Ransomware-Gang für die aber eine Entschlüsselungs-ID um sich anzumelden. Dahinter soll sich dann der Chat verstecken, um mit den Angreifern zu verhandeln. Allerdings scheint die ID nicht zu funktionieren. Es ist daher offen, ob die Bande die Lösegeldforderung gelöscht oder den Chat an eine andere Stelle verschoben hat.
Red./sel
Mehr bei RoyalMail.com