Das FBI infiltrierte heimlich das Hive-Netzwerk und übernahm neben Schlüsselservern und Entschlüsselungs-Keys sogar die Leak-Seite der Hive-Gruppe im Darknet. Damit vereitelte das FBI, das deutsche BKA, die Polizei Baden-Württemberg und Europol Lösegeldforderungen in Höhe von über 130 Millionen US-Dollar.
Das Justizministerium der USA gab bekannt, dass seine monatelange Störungskampagne gegen die Ransomware-Gruppe Hive nun Früchte getragen hat. Die Ransomware-Gruppe war verantwortlich für mehr als 1.500 Opfer in über 80 Ländern. Darunter auch Krankenhäuser, Schulbezirke, Finanzunternehmen und kritische Infrastrukturen (KRITIS). Die Aktion war eine Gemeinschaftsarbeit von FBI, das deutsche BKA, die Polizei Baden-Württemberg und Europol.
Über 1.300 Entschlüsselungsschlüssel für Hive-Opfer
Bereits Ende Juli 2022 ist das FBI in die Computernetzwerke von Hive eingedrungen, hat seine Entschlüsselungsschlüssel erbeutet und sie an die Opfer übergeben. Somit wurden bereits 130 Millionen Dollar an gefordertem Lösegeld nicht gezahlt. Seit der Infiltration des Netzwerks von Hive im Juli 2022 hat das FBI über 300 Entschlüsselungsschlüssel an angegriffene Hive-Opfer weitergegeben. Darüber hinaus verteilte das FBI über 1.000 zusätzliche Entschlüsselungsschlüssel an frühere Hive-Opfer.
Schließlich gab die Abteilung heute bekannt, dass sie in Abstimmung mit den deutschen Strafverfolgungsbehörden (Bundeskriminalamt, CID Esslingen) und der niederländischen National High Tech Crime Unit die Kontrolle über die Server und Websites übernommen hat, die Hive nutzt mit seinen Mitgliedern zu kommunizieren, wodurch die Fähigkeit von Hive, Opfer anzugreifen und zu erpressen somit lahmgelegt wurde.
Cyber-Überwachung des 21. Jahrhunderts
🔎 Die Hive-Leak-Seite im Darknet zeigt den Hinweis, dass sie von den behörden lahmgelegt wurde (Bild: B2B-C-S).
„Die Störung der Hive-Ransomware-Gruppe durch das Justizministerium sollte für die Opfer von Cyberkriminalität ebenso deutlich sprechen wie für die Täter“, sagte die stellvertretende Generalstaatsanwältin Lisa O. Monaco. „In einer Cyber-Überwachung des 21. Jahrhunderts hat unser Ermittlungsteam den Spieß umgedreht, indem es die Entschlüsselungsschlüssel von Hive gestohlen und an die Opfer weitergegeben hat, wodurch letztlich Zahlungen in Höhe von mehr als 130 Millionen Dollar für Ransomware verhindert werden konnten. Wir werden weiterhin mit allen Mitteln gegen Cyberkriminalität vorgehen und die Opfer in den Mittelpunkt unserer Bemühungen stellen, um die Cyberbedrohung einzudämmen.“
Hive erpresste sogar Krankenhäuser
Hive-Ransomware-Angriffe haben den täglichen Betrieb der Opfer auf der ganzen Welt erheblich gestört und die Reaktionen auf die COVID-19-Pandemie beeinträchtigt. In einem Fall musste ein von Hive-Ransomware angegriffenes Krankenhaus auf analoge Methoden zurückgreifen, um bestehende Patienten zu behandeln, und konnte unmittelbar nach dem Angriff keine neuen Patienten aufnehmen.
Hive verwendete ein Ransomware-as-a-Service (RaaS)-Modell mit Administratoren und verbundenen Unternehmen. RaaS ist ein abonnementbasiertes Modell, bei dem die Entwickler eine Ransomware entwickeln und eine einfach zu bedienende Oberfläche erstellen. Dann werden Partner rekrutiert um die Ransomware gegen Opfer einzusetzen. Die Partner identifizierten Ziele und setzten die vorgefertigte bösartige Software ein, um Opfer anzugreifen. Die Hive-Gruppe verdient dann einen Prozentsatz bei jeder erfolgreichen Lösegeldzahlung.
Hive-Modell setzte auf doppelte Erpressung
Hive-Akteure verwendeten ein Angriffsmodell mit doppelter Erpressung. Vor der Verschlüsselung des Opfersystems sollte der Partner sensible Daten exfiltrieren oder stehlen. Daraufhin forderte der Partner ein Lösegeld sowohl für die Entschlüsselung des Systems als auch für das Versprechen die gestohlenen Daten nicht zu veröffentlichen. Nachdem ein Opfer bezahlt hat, teilen Partner und Administratoren das Lösegeld 80 zu 20. Hive veröffentlichte die Daten von Opfern die nicht zahlten auf seiner Leak-Seite.
Mehr bei Justice.gov