Cyber-Söldner: Der wachsende Markt für gemietete Hacker-Angriffe

Neben Ransomware-Banden hat sich über die vergangenen Jahre ein eigenständiger, kommerziell organisierter Markt für Angriffe im Auftrag Dritter etabliert.

Anders als Ransomware-Banden, die überwiegend breit gestreut nach Opfern suchen und auf Lösegeldzahlungen abzielen, arbeiten sogenannte Hack-for-hire-Anbieter auftragsbezogen für zahlende Kunden. Google verfolgt diese Kategorie von Akteuren unter seiner Threat Analysis Group bereits seit 2012 und beschreibt sie als eigenständige Bedrohungsklasse neben staatlich gelenkten Gruppen und finanziell motivierter Kriminalität. Zielgruppen solcher Dienstleister sind nach Angaben von Google unter anderem Anwaltskanzleien, Investoren, Journalisten, Aktivisten sowie Konkurrenzunternehmen, die im Rahmen von Rechtsstreitigkeiten, Wirtschaftsspionage oder gezielter Überwachung angegriffen werden.

Der Fall BellTroX: Eine der größten aufgedeckten Spionage-Operationen

Den bislang detailliertesten Einblick in die Funktionsweise eines solchen Geschäftsmodells lieferte 2020 eine mehr als zweijährige Untersuchung der kanadischen Organisation Citizen Lab. Die Forscher deckten dabei eine als Dark Basin bezeichnete Operation auf und ordneten sie dem in Delhi ansässigen Unternehmen BellTroX InfoTech Services zu. Nach Angaben von Citizen Lab hatte die Gruppe über Jahre hinweg gezielt Tausende Einzelpersonen und Organisationen auf sechs Kontinenten angegriffen, darunter hochrangige Politiker, Staatsanwälte, Unternehmenschefs, Journalisten und Menschenrechtsverteidiger. Zu den dokumentierten Zielen zählten unter anderem Umweltorganisationen, die an der sogenannten ExxonKnew-Kampagne beteiligt waren, mit der Vorwürfe gegen den Ölkonzern Exxon wegen vertuschter Klimafolgen öffentlich gemacht werden sollten, sowie die Umweltorganisation Greenpeace.

Eine anschließende, 2022 veröffentlichte Untersuchung der Nachrichtenagentur Reuters, durchgeführt gemeinsam mit Sicherheitsforschern von Mandiant, Google und LinkedIn, wertete eine Datenbank mit mehr als 80.000 Phishing-E-Mails aus, die über einen Zeitraum von sieben Jahren an rund 13.000 Ziele verschickt worden waren. Die Recherche ordnete die Aktivität drei miteinander verbundenen indischen Unternehmen zu, BellTroX, Appin sowie CyberRoot, die sich zeitweise Infrastruktur und Personal teilten. Unter den von Reuters namentlich genannten mutmaßlichen Zielen befanden sich der Beteiligungskapitalgeber KKR sowie der auf Leerverkäufe spezialisierte Investor Muddy Waters. Ausgangspunkt für BellTroX war laut Reuters bereits 2013 ein Auftrag im Rahmen eines Rechtsstreits zwischen dem US-Vertriebsunternehmen ViSalus und seinem Konkurrenten Ocean Avenue, ein frühes Beispiel dafür, wie Cyber-Söldner-Dienstleistungen gezielt in laufende Wirtschaftsstreitigkeiten eingekauft wurden.

Wie sich das Geschäftsmodell trotz Enttarnung fortsetzt

Bemerkenswert an dem Fall ist, wie wenig eine öffentliche Enttarnung das zugrunde liegende Geschäftsmodell tatsächlich beendete. Google TAG konnte nach eigenen Angaben ehemalige Mitarbeiter von Appin und BellTroX einem neuen Unternehmen namens Rebsec zuordnen, das auf seiner eigenen kommerziellen Website offen mit Wirtschaftsspionage-Dienstleistungen wirbt.

Auch der Social-Media-Konzern Meta reagierte 2021 mit einer koordinierten Maßnahme: Das Unternehmen entfernte sieben als „Surveillance-for-hire“ eingestufte Firmen von seinen Plattformen, darunter neben BellTroX auch das israelische Unternehmen Cobwebs Technologies, die US-Firmen Cognyte, Black Cube und Bluehawk CI sowie das mazedonische Unternehmen Cytrox. Nach Angaben von Meta waren insgesamt rund 50.000 Personen in mehr als 100 Ländern von den Aktivitäten dieser Firmen betroffen, wobei sich nicht abschließend feststellen ließ, bei wie vielen der Betroffenen tatsächlich Schadsoftware oder andere Überwachungswerkzeuge zum Einsatz kamen. Die folgende Übersicht ordnet zentrale Fälle und Kennzahlen ein:

Regionale Schwerpunkte der Angriffe und wiederkehrende Muster

Google TAG weist zudem darauf hin, dass sich vergleichbare Hack-for-hire-Strukturen nicht nur in Indien, sondern auch in Russland und den Vereinigten Arabischen Emiraten beobachten lassen. Ein Teil der von Google verfolgten Akteure konzentrierte sich dabei gezielt auf Ziele in Regierungs-, Telekommunikations- und Gesundheitsorganisationen in Saudi-Arabien, den Vereinigten Arabischen Emiraten und Bahrain, mit einem Schwerpunkt auf der Kompromittierung von Google- und AWS-Konten. Auffällig ist dabei ein wiederkehrendes strukturelles Muster: Anbieter, deren Geschäftsmodell öffentlich bekannt wird, verschwinden selten vollständig vom Markt, sondern tauchen unter neuem Firmennamen mit teils denselben Mitarbeitenden wieder auf, wie es sich bereits beim Übergang von Appin und BellTroX zu Rebsec zeigte.

Was das für die Praxis bedeutet

Anders als bei klassischer Ransomware, deren Motiv unmittelbar erkennbar ist, bleibt bei Hack-for-hire-Angriffen die eigentliche Auftraggeberschaft in aller Regel verborgen. Weder BellTroX-Gründer Sumit Gupta noch andere bekannt gewordene Betreiber solcher Dienstleistungen haben ihre jeweiligen Kunden öffentlich benannt. Für betroffene Unternehmen bedeutet das in der Praxis, dass ein gezielter Angriff nicht zwangsläufig von einer bekannten kriminellen Gruppe mit erkennbarem finanziellen Motiv ausgehen muss, sondern ebenso gut im Auftrag eines Wettbewerbers, einer Gegenpartei in einem laufenden Rechtsstreit oder eines anderen Dritten mit spezifischem Interesse an bestimmten internen Informationen erfolgen kann.

Wer als Unternehmen bislang vor allem breit gestreute Ransomware- und Phishing-Kampagnen als Bedrohung eingeplant hat, sollte nach Einschätzung der zitierten Untersuchungen ergänzend berücksichtigen, dass insbesondere Führungskräfte, Rechtsabteilungen und an laufenden Transaktionen oder Rechtsstreitigkeiten beteiligte Mitarbeitende zu gezielten Einzelzielen eines vergleichsweise kleinen, aber gut organisierten kommerziellen Angreifermarktes werden können.