- Anzeigen -


Sie sind hier: Home » Virenwarnung » Hintergrund

Verstärkte Aktivitäten der Erpressergruppe DD4BC


Die DD4BC-Gruppe ist für eine große Zahl von Bitcoin-Erpressungskampagnen verantwortlich
Untersuchungen von PLXsert zufolge kündigte DD4BC kürzlich an, Unternehmen zusätzlich zu den DDoS-Angriffen über Social-Media-Kanäle bloßzustellen

(09.10.15) - Das Prolexic Security Engineering & Response (PLXsert)-Team von Akamai Technologies hat eine vermehrte Zahl von Angriffen und ein aggressiveres Vorgehen der Erpressergruppe DD4BC im Web beobachtet. Allein April 2015 bis September 2015 verzeichnete das Team 114 Angriffe. Akamai hat – unterstützt durch PLXsert – Details zu Distributed-Denial-of-Services (DDoS)-Attacken durch die Bitcoin-Erpressergruppe DD4BC veröffentlicht. Dazu analysierte PLXsert den Datenverkehr im Akamai-Netzwerk von September 2014 bis August 2015. Insgesamt identifizierte das Team 141 DD4BC-Attacken, einschließlich solcher, die gezielt über Social-Media-Kanäle das Markenimage das Unternehmen angriffen.

So arbeitet die DD4BC-Erpressergruppe
Die DD4BC-Gruppe ist für eine große Zahl von Bitcoin-Erpressungskampagnen verantwortlich, die bis in das Jahr 2014 zurückreichen. Seit dieser Zeit hat die Gruppe ihre Droh- und DDoS-Aktionen ständig ausgeweitet und zielt auf ein breites Spektrum von Branchen, beispielsweise Finanzdienstleistungen, Medien und Unterhaltung, Onlinespiele und Handel. In einer E-Mail teilt DD4BC den ausgewählten Opfern mit, dass sie mit einer DDoS-Attacke in einer niedrigen Bandbreite auf ihre Webseite rechnen müssen. Von Juni bis Juli dieses Jahres ist die Bandbreite in einigen Fällen auf mehr als 20 Gbit/s angewachsen. Anschließend wurde Schutzgeld gefordert. Für den Fall, dass die Zahlung ausbleibt, drohte ein massiver DDoS-Angriff, bei dem die Webseite dann lahmgelegt wird.

Unternehmen über Social Media anprangern
Untersuchungen von PLXsert zufolge kündigte DD4BC kürzlich an, Unternehmen zusätzlich zu den DDoS-Angriffen über Social-Media-Kanäle bloßzustellen. Das Ziel dabei ist es, mehr öffentliche Aufmerksamkeit zu erlangen und zu beweisen, dass DD4BC durch Lahmlegen der Webseiten in der Lage ist, das Opfer zu blamieren und dessen Image nachhaltig zu beschädigen.

Typischerweise verwendet DD4BC Multi-Vector-DDoS-Attacken, greift frühere Ziele wiederholt an und integriert auch Layer-7-Angriffe, wobei insbesondere die WordPress-Pingback-Sicherheitslücke ausgenutzt wird. Über diese werden wiederholt Reflected GET Requests an das Opfer verschickt, um die Webseite zu überfluten. Die Analysten von Akamai konnten derartige Angriffsmethoden auch in DDoS Booter Suite Frameworks feststellen.

Abwehr von Angriffen
PLXsert zählte seit September 2014 insgesamt 141 DD4BC-Angriffe gegen Akamai-Kunden, allein von April bis August 2015 waren es 114. Die durchschnittliche Bandbreite betrug 13,34 Gbit/s, die maximale belief sich auf 56,2 Gbit/s.

Zum Schutz vor Erpressungsversuchen durch DD4BC und nachfolgenden DDoS-Angriffen empfiehlt Akamai die folgenden defensiven Maßnahmen:

>> Unternehmen sollten Anomalie- und Signatur-basierte DDoS-Erkennungsmethoden implementieren, um Angriffe frühzeitig zu erkennen, bevor die Webseite für Benutzer nicht mehr zugänglich ist;

>> Die Ressourcen sollten verteilt werden, um die Widerstandsfähigkeit zu erhöhen und einen Single Point of Failure zu vermeiden;

>> Unternehmen sollten Layer-7-DDoS-Mitigation-Appliances an strategischen Stellen in ihrem Netzwerk einrichten, um die Risiken für kritische Applikationsserver zu vermindern.

"DD4BC droht mit DDoS-Angriffen, wenn die Zahlung von Bitcoins ausbleibt, mit der sich Opfer vor künftigen Angriffen schützen können", sagt Stuart Scholly, Senior Vice President und General Manager der Security Division bei Akamai. "Die aktuellen Attacken richteten sich vorwiegend auf Finanzdienstleister und nutzten neue Strategien und Taktiken, um ihre Opfer zu belästigen, zu erpressen und letztlich in der Öffentlichkeit bloßzustellen." (Akamai Technologies: ra)

Akamai Technologies: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Hintergrund

  • Schwachstelle in beliebter Datenbank-Format SQLite

    Check Point Research, die Threat Intelligence-Abteilung von Check Point Software Technologies, wies auf der BlackHat Conference auf eine gefährliche Schwachstelle in dem beliebten Datenbank-Format SQLite hin. Es handelt sich um das weltweit am stärksten verbreite Datenbank-System und betrifft daher eine große Gruppe von Nutzern. Aufgrund der niedrigen Systemanforderungen befindet sich SQLite in Browsern wie Google Chrome, Safari und Firefox, aber vor allem in Betriebssystemen, wie Windows 10, Android und den Apple-Systemen, MacOS und iOS. Die Sicherheitsforscher von Check Point demonstrierten die Sicherheitslücke anhand eines Iphones und hoben daher die Bedrohung besonders für iOS hervor. Dort kann nämlich die harmlose App ‚Kontakte' zum Einfallstor werden. Doch das ist nicht der einzige Grund, warum sich die Forscher auf das Iphone konzentrierten.

  • Viren: Digitale Spiegelreflex-Kameras anfällig

    Check Point Research, die Threat Intelligence-Abteilung von Check Point Software Technologies Ltd., einem weltweit führenden Anbieter von Cyber-Sicherheitslösungen, fand heraus, dass einige digitale Spiegelreflex-Kameras über den USB-Anschluss und die WLAN-Verbindung anfällig für Ransomware- und Malware-Angriffe sind. Mit dem Aufkommen von Digitalkameras hatte die International Imaging Industry Association ein standardisiertes Protokoll entwickelt, das als Picture Transfer Protocol (PTP) bekannt ist, um digitale Bilder von der Kamera auf einen Computer zu übertragen. Inzwischen hat sich dieses Protokoll weiterentwickelt und umfasst Dutzende verschiedener Befehle und Funktionen, vom Aufnehmen eines Live-Bildes bis zum Aktualisieren der Firmware des Gerätes.

  • "Norman" versteckt sich vor dem Task-Manager

    Sicherheitsforscher von Varonis Systems haben einen neuen leistungsstarken XMRig-basierten Cryptominer identifiziert, der Monero schürft. Dabei wendet "Norman" verschiedene Techniken an, um unerkannt zu bleiben. So unterbricht er etwa seine Aktivität, wenn ein Benutzer den Task-Manager öffnet. Darüber hinaus wurde bei der ursprünglichen Infektion auch eine interaktive PHP-Shell entdeckt, wobei es für einen direkten Zusammenhang zwar Hinweise, aber keine Belege gibt. Im Rahmen einer Evaluierung der Varonis-Datensicherheitsplattform bei einem mittelständischen Unternehmen wurden innerhalb kürzester Zeit mehrere netzwerkbezogene Warnmeldungen für abnormale Webaktivitäten sowie korrelierte abnormale Dateiaktivitäten ausgelöst. Diese bezogen sich auf Konten, deren Nutzer kürzlich auch instabile Anwendungen und langsame Netzwerkverbindungen gemeldet hatten. Eine weitergehende Untersuchung des Varonis Incident Response Teams ergab, dass nahezu jeder Rechner und Server des Unternehmens von unterschiedlicher Malware betroffen waren, wobei die Infektionen teilweise schon Jahre zurück lagen. Mit den gesammelten Informationen konnten die Schadprogramme sicher entfernt und die Infektion gestoppt werden.

  • Attacke mit fast 21 Tagen Laufzeit

    Im zweiten Quartal 2019 ist die Anzahl der DDoS (Distributed-Denial-of-Service)-Angriffe gegenüber dem gleichen Vorjahreszeitraum um 18 Prozent angestiegen. Auch Attacken auf Anwendungsebene - deren Organisation komplexer ist, so dass sich Schutzmaßnahmen schwieriger gestalten - zeigten ein deutliches Wachstum. Sie stiegen im Vergleich zum zweiten Quartal 2018 um nahezu ein Drittel (32 Prozent). Damit machen DDoS-Angriffe heute fast die Hälfte (46 Prozent) aller Angriffe aus, die durch "Kaspersky DDoS Protection" verhindert werden.Im zweiten Quartal dieses Jahres war die Zahl der DDoS-Angriffe um 44 Prozent geringer als im vorhergehenden Quartal. Im Vergleich zum Vorjahreszeitraum hingegen stieg die Anzahl der Angriffe im zweiten Quartal um 18 Prozent und im Vergleich zum gleichen Referenzzeitraum 2017 um 25 Prozent an.

  • Komplexes Spionage-Tool in neuem Gewand

    Der russischsprachige Bedrohungsakteur ,Turla' hat sein Portfolio an Bedrohungswerkzeugen umfassend modifiziert, wie Kaspersky-Forscher jetzt herausfanden. Die Gruppe erweiterte ihre bekannte JavaScript-KopiLuwak-Malware um einen neuen Dropper namens ,Topinambour', der von den Cybersecurity-Experten in zwei ähnlichen Versionen und in anderen Sprachen identifiziert wurde. Die Malware wird jetzt unter anderem über infizierte Software-Installationspakete zur Umgehung von Internetzensur verbreitet. Die Sicherheitsexperten glauben, dass diese Maßnahmen darauf abzielen, das Erkennungsrisiko ihrer Schadprogramme zu minimieren und die Auswahl idealer Zielopfer zu präzisieren. Topinambour wurde Anfang 2019 bei einer Kompromittierungsaktion gegen Regierungsstellen entdeckt.