XMR-Squad attackiert deutsche Webseiten

Apr 212017, 2017

Eine neue DDoS-Erpressergruppe mit Namen XMR-Squad hat sich Unternehmen in Deutschland vorgenommen. Sie hat u.a. bereits die Webseiten von DHL, Hermes und Freenet erfolgreich attackiert. Die Täter argumentieren, dass sie – wenn auch ungefragt - die DDoS Protection testen und fordern dafür eine Gebühr von 250 Euro. Ihre Angriffe dokumentieren sie auf Twitter und einer eigenen Webseite.

Dabei attackieren XMR-Squad seit dem 19. April 2017 nicht nur kleine Online-Shops, sondern nehmen auch große Logistikdienstleister und Telekommunikationsanbieter ins Visier. Das erste Mal berichtete der Online-Journalist Mark Steier am 20. April 2017 in seinem Blogbeitrag „Ursache der Störung nun bekannt: DHL hatte einen DDOS-Angriff“ über die Täter.

Das LSOC hat mit Steier weitere Informationen ausgetauscht und mit ihm gemeinsam ein Kurzprofil der Täter erstellt.

  • Herkunft: DDoS-Erpressungen durch die bis dato unbekannte Gruppe sind erst seit dem 19. April 2017 bekannt. Steier vermutet auf Basis des mit der Gruppe geführten Telefonats, dass sie russische Wurzeln hat.
  • Einzeltäter/Gruppe: Per E-Mail und auf Twitter reden die Hacker von sich immer in der Mehrzahl.
  • Name der Täter: XMR ist die Abkürzung für die dezentrale Kryptowährung Monero, die einen besonderen Fokus auf Privatsphäre legt.
  • Opfer: Die Erpresser zielen ohne erkennbare Logik auf Unternehmen aus verschiedenen Branchen und unterschiedlicher Größe in Deutschland. Bis jetzt sind dem LSOC DDoS-Attacken auf die Webseiten von Snipes, Freenet, Hermes, DHL, AldiTalk und 3DSupply bekannt. Neben den Unternehmen wurden laut der offiziellen Webseite der Täter auch das LKA Niedersachsen sowie das Land NRW angegriffen. Aktuell konzentrieren sich XMR-Squad noch auf Unternehmen und Behörden in Deutschland. Eine Ausweitung auf die Nachbarländer Österreich und Schweiz ist jedoch nicht auszuschließen.
  • Web-Präsenz: Die Täter posten Infos zu den (scheinbar) erfolgreichen DDoS-Attacken auf Twitter und auf der eigenen Hacker-Webseite. Dabei lassen sie ihren Online-Auftritt von Cloudflare schützen. Der amerikanische Anbieter im Bereich DDoS-Schutz war in den vergangenen Monaten schon mehrfach dafür gerügt worden, dass er durch mangelnde Prüfung von Neukunden u. a. auch kriminellen Aktivitäten Schutz bietet.
  • Schutzgeld-Forderung: Die Besonderheit an XMR-Squad ist, dass sie die Angriffe als eine Art Penetrationstest kommunizieren und für den Test eine Gebühr von 250 Euro verlangen: „wir "prüfen" ihre Protection :=) & dafür verlangen wir eben 250€ Win-Win.“ (Quelle: Twitter-Kommunikation). Nach Erfahrungen des LSOC ist der Betrag relativ niedrig. DDoS-Erpresser fordern gewöhnlich einen Betrag von 1 bis 5 Bitcoin. Das entspricht nach heutigem Kurs einem Betrag von 1.100 bis 5.700 Euro.
  • DDoS-Tool: Unklar ist noch, ob XMR-Squad über ein eigenes DDoS-Tool verfügt oder ob die Täter die Attacken bei „DDoS-as-a-Service“-Anbietern in Auftrag geben. Sicher ist aber, dass die DDoS-Attacken von XMR-Squad über eine große Schlagkraft verfügen müssen, wenn sie die IT-Infrastruktur von großen Logistikkonzernen überlasten können.

Warnung vor aggressiven Tätern

Nach Einschätzung des LSOC sind die Erpressungsversuche von XMR-Squad unbedingt ernst zu nehmen, auf sie eingehen sollte man aber nicht. Statt die Testgebühr zu zahlen empfehlen die DDoS-Schutzexperten von Link11 jedem Unternehmen, vorhandene Schutzsysteme zu aktivieren oder sich um geeignete Schutzmaßnahmen zu kümmern sowie den Hosting-Anbieter über die Erpressung zu informieren. Außerdem sollten attackierte Unternehmen Anzeige bei den Strafverfolgungsbehörden erstatten. Die Allianz für Cybersicherheit bietet eine Übersicht über die jeweiligen Meldestellen für Cybercrime in den einzelnen Bundesländern.

Sind Sie von DDoS-Attacken betroffen?

Sollten Sie von einem Erpressungsversuch betroffen sein, sind Sie als Link11 DDoS-Schutz-Kunde gut geschützt!

Bringen Sie diese Erpressung bitte trotzdem zur Anzeige, die Ermittlungsbehörden sind bereits aktiv. Informieren Sie gerne auch Link11, so stellen Sie sicher, dass alle Seiten auf potentielle Angriffe bestens vorbereitet sind. Wir stehen Ihnen mit Rat und Tat zur Seite!

Kontakt Link11 Security Operation Center (LSOC)

+49 (0)800-0011800
LSOC@link11.de

Link11 steht mit dem BSI - Allianz für Cybersicherheit und den Strafverfolgungsbehörden im Kontakt und wird diese bei der Analyse und Aufklärung des Erpressungsversuchs unterstützen.