Details zu Contis Inside-Operationen
Tiefe Einblicke in die inneren Abläufe der Conti-Ransomware-Gruppe: Einige Mitarbeiter glauben, sie würden für ein legales High-Tech-Unternehmen arbeiten
Nach der Analyse von durchgesickerten Dokumenten der berüchtigten russischen Hacker-Gruppe, gibt Check Point Research interessante Details bekannt
Die Sicherheitsforscher von Check Point Research (CPR), der Spezialisten-Abteilung von Check Point Software Technologies, zeigen die organisatorische Struktur der berüchtigten Conti-Ransomware-Gruppe in einem dreidimensionalen Modell. Hervorgehoben werden die Kerngruppen und sogar Decknamen der wichtigsten Leute namens Stern, Bentley, Mango und Buza. Außerdem stellte sich heraus, dass die Hacker-Gruppe mehrere Büro-Räume in Rußland betreibt. Dabei wird vorgegangen wie ein Unternehmen: Die Personal-Abteilung arbeitet mit monatlichen Bonus-Zahlungen, Abmahnungen, Mitarbeiter-des-Monats-Auszeichnungen und Arbeitszeugnissen.
Am 27. Februar 2022 wurde ein Cache mit Chat-Protokollen der Conti-Gruppe von einem angeblichen Insider ins Internet gestellt, der behauptete, die Unterstützung der Gruppe für die russische Invasion in der Ukraine zu beanstanden. CPR analysierte die durchgesickerten Dateien und fand heraus, dass die Ransomware-Gruppe wie ein großes Technologie-Unternehmen arbeitet.
Conti ist eine Ransomware-as-a-Service-(RaaS)-Gruppe, die Kriminellen anbietet, den Zugang zu ihrer IT-Infrastruktur zu mieten, um Angriffe zu starten. Sicherheitsforschern zufolge hat Conti seinen Sitz in Rußland und unterhält möglicherweise sogar Verbindungen zum russischen Geheimdienst. Conti wird für Ransomware-Angriffe auf Dutzende von Unternehmen verantwortlich gemacht, darunter der deutsche Touristik-Konzern FTI, dessen Daten sogar im Dark Net veröffentlicht wurden. Dieses Datenpaket enthielt Fotos von rund 250 Reisepässen und Ausweisen. Auch kritische Infrastrukturen, wie das irische Gesundheitswesen und andere Netzwerke von Ersthelfern, geraten ins Visier. Im Ukraine-Krieg bezieht die Gruppe ihre Stellung auf russischer Seite.
Details zu Conti's Inside-Operationen
>> Conti arbeitet wie ein Technologieunternehmen.
>> Hierarchische und definierte Struktur.
>> Teamleiter, die dem oberen Management unterstellt sind.
>> Beobachtete Hauptgruppen: Personalwesen, Programmierer, Tester, Crypter, System-Administratoren (Sysadmins), Reverse Engineers, Offensiv-Abteilung, OSINT-Spezialisten und Verhandlungspersonal.
CPR identifizierte die wichtigsten beteiligten Personen mit ihren Namen: Stern (Big Boss), Bentley (technischer Leiter), Mango (Verantwortlicher für allgemeine Fragen), Buza (technischer Leiter), Target (Verantwortlicher für die Programmierer und ihre Produkte), Veron alias Mors (Mittelpunkt der Aktivitäten der Gruppe bei Emotet).
Arbeit in einem Büro in Russland.
Die Conti-Gruppe verfügt über mehrere Büros. Diese werden von Target kuratiert, dem Partner von Stern und effektiven Leiter des Bürobetriebs, der auch für den Lohnfonds, die technische Ausstattung der Büros, den Einstellungsprozess bei Conti und die Personalschulung verantwortlich ist. Im Jahr 2020 wurden die Büros vor allem von Testern, Offensiv-Abteilung und Verhandlungsführern genutzt; Target erwähnt zwei Büros, die für Mitarbeiter bestimmt sind, die direkt mit Opfer-Vertretern sprechen.
Im August 2020 wurde ein zusätzliches Büro für Sysadmins und Programmierer eröffnet, das dem Professor unterstellt ist, der für den technischen Prozess und die Sicherung einer Attacke verantwortlich ist.
Vergütung: monatliche Prämien, Geldbußen, Mitarbeiter des Monats, Leistungsbeurteilungen.
Die Mitglieder der Verhandlungsabteilung von Conti (einschließlich der OSINT-Spezialisten) werden durch Provisionen bezahlt, die als Prozentsatz des gezahlten Lösegelds berechnet werden und zwischen 0,5 und 1 Prozent liegen. Programmierer und einige der Manager erhalten ein Gehalt in Bitcoin, das ein- oder zweimal im Monat überwiesen wird.
Conti-Mitarbeiter sind nicht durch ihre lokalen Arbeitsämter geschützt und müssen daher einige Praktiken erdulden, von denen typische Tech-Mitarbeiter ausgenommen sind, wie Geldstrafen für unterdurchschnittliche Leistungen.
Während Geldstrafen vor allem in der Codier-Abteilung ein gängiges Mittel sind, werden sie in anderen Abteilungen sporadisch nach Lust und Laune des Direktors eingesetzt – beispielsweise in der IT und bei DevOps, wo eine Person, die für die Einzahlung von Geld zuständig war, für eine verpasste Zahlung mit einer Geldstrafe von 100 US-Dollar (rund 91 Euro) belegt wurde.
Talente werden sowohl aus legalen als auch aus illegalen Quellen rekrutiert.
Die Hauptquelle, die Contis Personalwesen für die Personalbeschaffung nutzt, sind russischsprachige Headhunting-Dienste wie headhunter.ru. Sie haben auch andere Websites wie superjobs.ru genutzt, aber Berichten zufolge mit weniger Erfolg. Conti OPSec verbietet es, Spuren von Stellenangeboten für Entwickler auf solchen Websites zu hinterlassen, eine Vorschrift, die von einem der Vorgesetzten, Stern, strikt durchgesetzt wird.
Für die Einstellung von Entwicklern umgeht Conti also das Jobsystem von headhunter.ru, greift stattdessen direkt auf den Lebenslauf-Pool zu und kontaktiert die Kandidaten per E-Mail. Man könnte sich fragen, warum headhunter.ru einen solchen Service überhaupt anbietet, doch die Antwort lautet schlicht, dass sie dies nicht tun. Conti hat sich den Lebenslauf-Pool ohne Erlaubnis beschafft, was in der Welt der Cyber-Kriminalität gängige Praxis zu sein scheint.
Einige Conti-Mitarbeiter wissen nicht einmal, dass sie Teil einer kriminellen Vereinugung sind.
In einem Online-Vorstellungsgespräch sagt ein Direktor zu einem Bewerber für das Coding-Team: "Hier ist alles anonym, die Hauptrichtung des Unternehmens ist Software für Pen-Tester."
In einem anderen Beispiel ist ein Gruppenmitglied unter dem Namen Zulas bekannt, wahrscheinlich die Person, die das Backend von Trickbot in der Programmiersprache Erlang entwickelt hat. Zulas ist begeistert von Erlang, zeigt gerne Beispiele seiner anderen Arbeiten und nennt sogar seinen richtigen Namen. Als sein Manager erwähnt, dass dessen Trick-Projekt (Trickbot) von "der halben Welt" gesehen wurde, versteht Zulas die Anspielung nicht, nennt das System lero und verrät, dass er keine Ahnung hat, was seine Software macht und fragt, warum das Team so viel Aufwand betreibt, um die Identität der Mitglieder zu schützen. Sein Gesprächspartner erklärt ihm, dass er an einem Backend für ein Anzeigenanalysesystem arbeitet.
Conti diskutiert über Zukunftspläne: Eine Krypto-Börse und ein soziales Netzwerk im Dark-Net.
Eine der diskutierten Ideen war die Schaffung einer Krypto-Börse im eigenen Ökosystem der Gruppe.
Ein weiteres Projekt ist das darknet social network (auch: VK for darknet oder Carbon Black for hackers), ein von Stern inspiriertes und von Mango betreutes Projekt, das als kommerzielles Projekt entwickelt werden soll. Im Juli 2021 stand Conti bereits in Kontakt mit einem Designer, der ein paar Mockups anfertigte.
Lotem Finkelsteen, Head of Threat Intelligence and Research bei Check Point Software Technologies, erklärt: "Zum ersten Mal haben wir Einsicht in eine Gruppe, die als das Gesicht der Ransomware-Bedrohung bekannt ist. Conti verhält sich dabei wie ein High-Tech-Unternehmen. Wir sehen Hunderte von Mitarbeitern in einer Hierarchie von Direktoren und erkennen eine Personalabteilung mit Mitarbeitern, die für verschiedene Abteilungen zuständig sind. Erschreckenderweise haben wir Hinweise darauf, dass sich nicht alle Mitarbeiter darüber im Klaren sind, dass sie Teil einer Hacker-Gruppe sind. Mit anderen Worten: Conti hat es geschafft, Fachkräfte aus legitimen Quellen zu rekrutieren. Diese Mitarbeiter denken, dass sie für ein Werbe-Unternehmen arbeiten, während sie in Wirklichkeit für eine berüchtigte Ransomware-Gruppe tätig sind. Einige dieser Mitarbeiter finden die Wahrheit heraus und entscheiden sich zu bleiben, was zeigt, dass die Conti-Geschäftsführung ein Verfahren entwickelt hat, um Mitarbeiter zu halten. Es ist uns klar, dass Conti eine interne Firmen-Kultur entwickelt hat, um Gewinne zu erzielen und Mitarbeiter für unerwünschtes Verhalten zu bestrafen. Wir sehen auch, dass Conti echte Niederlassungen in Rußland hat. Unsere Publikation enthält nun Erkenntnisse über die interne Arbeitsweise von Conti.” (Check Point Software Technologies: ra)
eingetragen: 20.04.22
Newsletterlauf: 18.05.22
Check Point Software Technologies: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.
