Die Ransomware-Bande Ragnar Locker wurde durch einen internationalen Zusammenarbeit von Polizei und Behörden wie Europol und FBI zur Strecke gebracht. Die Gruppe war verantwortlich für weit über 100 Ransomware-Angriffe – auch auf kritische Infrastrukturen.
Diese Woche haben Strafverfolgungs- und Justizbehörden aus elf Ländern einer der gefährlichsten Ransomware-Banden vorerst zerschlagen. Die auf internationaler Ebene von Europol und Eurojust koordinierte Aktion richtete sich gegen die Ransomware-Gruppe Ragnar Locker. Die Gruppe war für zahlreiche aufsehenerregende Angriffe auf kritische Infrastrukturen auf der ganzen Welt verantwortlich.
Ragnar Locker ausgeknockt und festgenommen
Im Rahmen einer Aktion zwischen dem 16. und 20. Oktober wurden Durchsuchungen in Tschechien, Spanien und Lettland durchgeführt. Das „Hauptziel“ der Ransomware-Gruppe wurde am 16. Oktober in Paris, Frankreich, festgenommen und sein Haus in Tschechien durchsucht. In den folgenden Tagen wurden fünf Verdächtige in Spanien und Lettland befragt. Am Ende der Aktionswoche wurde der Haupttäter, der im Verdacht steht, ein Entwickler der Ragnar-Gruppe zu sein, den Untersuchungsrichtern des Pariser Landgerichts vorgeführt.
Die Infrastruktur der Gruppe zur Nutzung der Ransomware wurde in den Niederlanden, Deutschland und Schweden beschlagnahmt und die zugehörige Leak-Website auf Tor in Schweden gelöscht. Die internationale Razzia folgte einer komplexen Untersuchung, die von der französischen Nationalgendarmerie gemeinsam mit Strafverfolgungsbehörden aus Tschechien, Deutschland, Italien, Japan, Lettland, den Niederlanden, Spanien, Schweden, der Ukraine und den Vereinigten Staaten von Amerika durchgeführt wurde. Im Rahmen dieser Untersuchung wurde im Oktober 2021 mit Unterstützung von Europol eine erste Verhaftungswelle in der Ukraine durchgeführt .
Was für eine Malware ist Ragnar Locker?
Ragnar Locker: Zuerst wurden die Opfer erpresst und Lösegeld gefordert oder die Daten veröffentlicht.
Ragnar Locker war seit Dezember 2019 aktiv und der Name einer Ransomware-Variante und der kriminellen Gruppe, die sie entwickelt und betrieben hat. Die Akteure haben sich durch Angriffe auf kritische Infrastrukturen auf der ganzen Welt einen Namen gemacht, zuletzt gegen die portugiesische Fluggesellschaft und ein Krankenhaus in Israel.
Diese Ransomware-Variante zielte auf Geräte mit Microsoft Windows-Betriebssystemen ab und nutzte typischerweise exponierte Dienste wie das Remote Desktop Protocol, um Zugriff auf das System zu erhalten. Es war bekannt, dass die Ragnar Locker-Gruppe eine doppelte Erpressungstaktik anwendete und erpresserische Zahlungen für Entschlüsselungstools sowie für die Nichtfreigabe der gestohlenen sensiblen Daten forderte.
Strafverfolgungsbehörden ließen nicht locker
Bereits im Oktober 2021 wurden Ermittler der französischen Gendarmerie und des US-amerikanischen FBI zusammen mit Spezialisten von Europol und INTERPOL in die Ukraine entsandt, um gemeinsam mit der ukrainischen Nationalpolizei Ermittlungsmaßnahmen durchzuführen, was zur Festnahme von zwei prominenten Ragnar Locker-Betreibern führte.
Die Ermittlungen wurden seitdem fortgesetzt und führten diese Woche zu Verhaftungen und Störungsaktionen. Europols Europäisches Zentrum zur Bekämpfung der Cyberkriminalität Europol unterstützte die Ermittlungen von Anfang an und brachte alle beteiligten Länder zusammen, um eine gemeinsame Strategie zu entwickeln.
Seine Spezialisten für Cyberkriminalität organisierten 15 Koordinierungstreffen und zwei einwöchige Sprints, um sich auf die neuesten Maßnahmen vorzubereiten, und leisteten außerdem Unterstützung bei Analyse, Malware, Forensik und Kryptoverfolgung.
Internationale Zusammenarbeit gegen Ragnar Locker
An der Untersuchung waren folgende Behörden beteiligt. Die Untersuchung wurde im Rahmen der Europäischen Multidisziplinären Plattform gegen kriminelle Bedrohungen (EMPACT) durchgeführt.
- Tschechien: Nationale Agentur für Terrorismusbekämpfung, Extremismus und Cyberkriminalität der Polizei der Tschechischen Republik
- Frankreich: Nationales Zentrum für Cyberkriminalität der französischen Gendarmerie (Gendarmerie Nationale – C3N)
- Deutschland: Landeskriminalamt Sachsen, Bundeskriminalamt
- Italien: Staatspolizei (Polizia di Stato), Post- und Kommunikationspolizei (Polizia Postale e delle Comunicazioni)
- Japan: Nationale Polizeibehörde (NPA)
- Lettland: Staatspolizei (Latvijas Valsts Policija)
- Niederlande: Polizei der Ostniederlande (Politie Oost-Nederland)
- Spanien: Guardia Civil (Guardia Civil)
- Schweden: Schwedisches Zentrum für Cyberkriminalität (SC3)
- Ukraine: Cyberpolizei-Abteilung der Nationalen Polizei der Ukraine (Національна поліція України)
- Vereinigte Staaten: Außenstelle des Federal Bureau of Investigation in Atlanta