Ransomware-Gruppe Conti hat enge Verbindung zu russischer Führung

Im Zuge der russischen Invasion der Ukraine ist auch die gesamte Cybercrime-Szene Osteuropas durcheinandergewirbelt worden, das wohl prominenteste "Opfer" dieser Turbulenzen heißt Conti. Denn Insider haben zahlreiche Interna der Ransomware-Gruppe geleakt. Ende Februar, kurz nach dem Beginn des russischen Angriffs auf die Ukraine, tauchten Dokumente auf, die in Summe knapp 170.000 interne Conti-Chats beinhalteten. Aufgrund der schieren Menge dieser Interna dauerte es länger, bis diese ausgewertet werden konnten, mittlerweile liegen aber zahlreiche Erkenntnisse zu den Conti-Aktivitäten vor.

Conti und Cozy Bear

Wie Wired berichtet, ist das Bild ein ziemlich klares: Die in Russland sitzenden Erpresser haben einerseits eine recht freie Hand für ihre Aktivitäten, Behörden drücken oftmals beide Augen zu, solange nicht russische Unternehmen oder Personen angegriffen bzw. erpresst werden. Andererseits bestehen - trotz öffentlicher Law-and-Order-Aufrufe von Wladimir Putin - enge Verknüpfungen zur Politik, den russischen Geheimdiensten und für sie arbeitenden staatlichen Hackern, allen voran der berühmt-berüchtigten Gruppen Cozy Bear.

Cozy Bear soll sich in den vergangenen zwei Jahren u. a. darauf konzentriert haben, Forschungs- und Pharmaeinrichtungen anzugreifen, um Technologien zu Covid-19-Impfungen zu stehlen. Als die ersten Vorwürfe in diese Richtung auftauchten, sprachen Conti-Führungspersönlichkeiten - Conti-Anführer "Stern" und das hochrangige Mitglied "Professor" - wenige Tage später über die Errichtung eines "Regierungsbüros". Infografik: Im Visier russischer Hacker "Sie verweisen auf die Einrichtung eines langfristigen Projekts und scheinen die Idee zu haben, dass die externe Partei in Zukunft helfen würde", erläutert Kimberly Goody vom Cybersicherheitsunternehmen Mandiant. "Wir glauben, dass dies ein Hinweis darauf ist, dass diese externe Partei ihnen helfen kann, wenn Strafverfolgungsmaßnahmen gegen sie ergriffen werden." Dabei gibt es gleich mehrere Hinweise darauf, dass es sich bei der "externe Partei" um den mächtigen russischen Geheimdienst FSB handelt. "Die durchgesickerten Chats vermitteln den Eindruck, dass die Conti-Führer davon ausgingen, dass sie so lange tätig sein durften, wie sie die unausgesprochenen Richtlinien der russischen Regierung befolgten", sagt Allan Liska, Analyst beim Sicherheitsunternehmen Recorded Future. "Offenbar gab es zumindest einige Kommunikationslinien zwischen der russischen Regierung und der Conti-Führung."

"Patriotische" Pflichten

Es gibt auch noch klare Hinweise darauf, dass Conti mehr war und ist als "nur" eine auf Erpressung spezialisierte Gruppe. Das bedeutet, dass man politische und sonstige sensible Informationen, die man zu Regimekritikern und ähnlichem erlangt, proaktiv weitergibt - man sieht das als "patriotische" Pflicht an.

Allerdings hat sich Conti auch globalisiert und das bedeutet, dass man auch im Ausland Mitglieder hat, allen voran Belarus und der Ukraine. Das hat wohl auch zum Leak der Chats geführt, denn man kann davon ausgehen, dass die prorussische Haltung von Conti zum Leak der Chats geführt hat - weil ein ukrainisches (Ex-)Mitglied diese kopiert und weitergegeben hat.

Siehe auch: