Pro-Islam-Hacktivisten aus dem „anonymen Sudan“ sind wahrscheinlich eine Front für die russische Killnet-Operation

Eine scheinbar pro-islamische Gruppe, die in den letzten Monaten zahlreiche Ziele in Europa mit Distributed-Denial-of-Service-Angriffen (DDoS) getroffen hat, könnte tatsächlich eine Untergruppe der sein Russisches Hacktivisten-Kollektiv namens Killnet.

Die Gruppe, die sich „Anonymous Sudan“ nennt, hat die Verantwortung für die jüngsten DDoS-Angriffe auf Ziele in Frankreich, Deutschland, den Niederlanden und Schweden übernommen. Alle Angriffe erfolgten offenbar als Vergeltung für wahrgenommene antiislamische Aktivitäten in jedem dieser Länder. Die Angriffe auf die schwedische Regierung und Unternehmen gingen beispielsweise auf eine Koranverbrennung in Stockholm zurück. Derselbe oder ein ähnlicher Grund war der Auslöser für DDoS-Angriffe auf niederländische Regierungsbehörden und einen Angriff auf Air France, bei dem die Gruppe – in einem Bruch mit dem Charakter – Daten von der Website der Fluggesellschaft stahl, anstatt sie zu DDoSen.

Killnet-Links des anonymen Sudan

Forscher von Trustwave, die Anonymous Sudan in den letzten Monaten verfolgt haben, sagten diese Woche, dass es einige Beweise dafür gibt, dass die Gruppe eine Front für Killnet ist. In einem Bericht, sagte Trustwave, dass seine Forscher nicht in der Lage waren zu bestätigen, ob Anonymous Sudan tatsächlich im Sudan ansässig ist oder ob eines seiner Mitglieder aus diesem Land stammt. Die Telegrammposts der Gruppe sind auf Russisch und Englisch, und andere Telemetriedaten weisen stattdessen darauf hin, dass zumindest einige ihrer Mitglieder Osteuropäer sind.

Genau wie bei Killnet befanden sich alle Ziele von Anonymous Sudan in Ländern, die sich der Invasion Russlands in der Ukraine widersetzt und/oder letztere in irgendeiner Weise unterstützt haben. Seine jüngste Bedrohung – am 24. März – Ziele in Australien anzugreifen, passt in dasselbe Muster wie ein DDoS-Angriff auf den israelischen Cybersicherheitsanbieter Radware.

Genau wie Killnet hat auch Anonymous Sudan hauptsächlich DDoS-Angriffe eingesetzt, um seine Nachricht an die beabsichtigten Ziele zu senden. Und sowohl Killnet als auch Anonymous Sudan haben auf ihren jeweiligen Telegrammkanälen Behauptungen aufgestellt, die offiziell miteinander verbunden sind. Im Januar zum Beispiel behauptete Anonymous Sudan, Killnet bei einem DDoS-Angriff auf den deutschen Bundesnachrichtendienst unterstützt zu haben, sagte Trustwave.

Warum Anonymous Sudan sich als pro-islamische Gruppe und nicht als pro-russische Gruppe, die mit Killnet verbündet oder möglicherweise Teil von Killnet ist, brandmarkte, bleibt laut Trustwave-Forschern unklar. „Anonymous Sudan war extrem aktiv, um Angriffe über seinen Telegrammkanal zu würdigen, aber Details über die wahren Gründe hinter seinen Bemühungen bleiben düster.“

Ein lautstarkes Hacktivisten-Kollektiv

Killnet selbst ist eine lautstarke Hacktivistengruppe, die in den Monaten seit der russischen Invasion in der Ukraine zugeschlagen hat, oder angeblich getroffen, zahlreiche Organisationen weltweit bei DDoS-Angriffen. Die Gruppe hat die Angriffe als Vergeltung gegen die US-geführte Unterstützung der Ukraine im Krieg beschrieben – und tatsächlich waren alle ihre Opfer in Ländern, die sich hinter der Ukraine versammelt haben. Die meisten seiner Angriffe richteten sich bisher gegen Organisationen in Europa. Aber im Februar startete Killnet DDoS-Angriffe auf mehr als ein Dutzend großer US-Krankenhäuser, darunter Stanford Health, Michigan Medicine, Duke Health und Cedar-Sinai. Im vergangenen Oktober startete die Gruppe DDoS-Angriffe auf mehrere US-Flughäfen, einschließlich Los Angeles International Airport (LAX), Chicago O'Hare und Hartsfield-Jackson Atlanta International Airport.

Killnet hat diese Angriffe als schwerwiegende Vorfälle angepriesen. Aber Sicherheitsexperten und Opferorganisationen selbst haben die Gruppe als eine Bedrohung mit mittlerem Schweregrad eingestuft, die jedoch nicht ignoriert werden kann. Nach den Angriffen von Killnet auf US-Krankenhäuser beschrieb beispielsweise die American Health Association (AHA), dass die Angriffe von Killnet normalerweise keinen großen Schaden anrichteten, aber gelegentlich den Dienst für mehrere Tage unterbrechen könnten.

Die Sicherheitsforscherin Jeannette Dickens-Hale von Trustwave SpiderLabs charakterisiert die Bedrohung, die Anonymous Sudan darstellt, auf die gleiche Weise. 

„Basierend auf den jüngsten DDoS-Angriffen von Anonymous Sudan, seiner Verbindung zu und Ähnlichkeit in Taktiktechniken und Verfahren (TTPs) zu Killnet scheint es, dass die Gruppe ein niedriges bis mittleres Entwicklungsniveau hat“, sagt sie. „Killnet startet praktischerweise genau wie Anonymous Sudan hauptsächlich DDoS-Angriffe und droht mit Erpressung mit Daten, die sie möglicherweise haben oder nicht.“ 

Trustwave SpiderLabs geht davon aus, dass Killnet dieselbe Bedrohungsstufe aufweist. Der jüngste Angriff von Anonymous Sudan auf Air France und die Drohung, seine Daten zu verkaufen – die es möglicherweise tatsächlich hat oder nicht – könnten auf eine Eskalation der Motivation und des Angriffstyps hindeuten, sagt Dickens-Hale.

Killnets „Black Skills“-Start

Killnets unaufhörliche Versuche, Unterstützung für seine Bemühungen zu gewinnen – hauptsächlich durch übertriebene Behauptungen über seine Erfolge – sind eine weitere Sache, die Forscher im Auge behalten. Flashpoint berichtete diese Woche zum Beispiel, dass er Killnets Anführer „Killmilk“ bei der Ankündigung der Aufbau einer privaten militärischen Hacking-Ausrüstung „Black Skills“ genannt.

Der Sicherheitsanbieter bewertete Killmilks Beschreibung von Black Skills als Versuch, Killnet als das Cyber-Äquivalent der russischen Söldneroperation Wagner Group zu positionieren. Anfang März kündigte Killnet auch ein DDoS-as-a-Service-Angebot namens „Black Listing“ an, das Flashpoint als einen weiteren Versuch des Kollektivs betrachtete, sich eine formellere Identität zu verschaffen. 

„Black Skills/Black Listing scheint ein Versuch von Killnet zu sein, sich als Unternehmensidentität zu etablieren“, schlossen Flashpoint-Forscher. „Unseren Erkenntnissen zufolge wird die neue Gruppe organisiert und strukturiert sein, wobei Untergruppen sich um Gehaltsabrechnung, Öffentlichkeitsarbeit und technischen Support, Penetrationstests sowie Datenerfassung, Analyse, Informationsoperationen und Treffer gegen vorrangige Ziele kümmern werden.“

• SEO-gestützte Content- und PR-Distribution. Holen Sie sich noch heute Verstärkung.
• Platoblockkette. Web3-Metaverse-Intelligenz. Wissen verstärkt. Hier zugreifen.
• Quelle: https://www.darkreading.com/attacks-breaches/pro-islam-anonymous-sudan-hacktivists-front-russia-killnet-operation