Der Cyber-Untergrund hat mittlerweile einen hohen Professionalisierungsgrad erreicht. Hierzu gehört natürlich auch Arbeitsteilung und Teamwork. Kein Wunder organisieren sich auch Hacker in Gruppen. Computerworld hat eine Reihe der berüchtigsten Organisationen zusammengetregen.

Nur wenig wissen wir über die – nomen est omen – lichtscheue Hackergruppe The Shadow Brokers. Dafür sind die Cyberangriffe, welche die Vereinigung ermöglicht haben soll, umso bekannter. Sie gehören nämlich zu den schlimmsten Attacken der Geschichte: namentlich Wannacry und Notpetya.

Bei den Angriffen kam eine Reihe von Sicherheitslücken zum Einsatz, die The Shadow Brokers vom amerikanischen Nachrichtendienst National Security Agency (NSA) entwenden konnte. Die Cyberwaffen wurden sodann von den Schattenbrokern veröffentlicht, nachdem sie diese vergeblich zu verkaufen versucht hatten.

Noch wissen die Experten nicht eindeutig, aus welchem Land die Hackergruppe The Shadow Brokers operiert. Für den Ex-NSA-Mitarbeiter und Whistleblower Edward Snowden kann es sich beim Herkunftsland der Gang nur um Russland handeln, wie er 2016 in einem Tweet verbreitete.

Die Grundlage für den Wannacry-Angriff hat ziemlich sicher The Shadow Brokers gelegt. Ausführendes «Organ» war dann aber sehr wahrscheinlich die Mythen-umsponnene Hackervereinigung Lazarus Group.
Gemäss dem IT-Security-Spezialisten Kaspersky Lab, der die Lazarus Group schon seit geraumer Zeit beobachtet und deren Tätigkeit folgt, bevorzugt die Gruppe Attacken auf Geldinstitute. So vermutet man, dass die Lazarus Group hinter einem Angriff auf die Nationalbank von Bangladesh im Jahr 2016 steckt. Bei diesem Cyberbankraub erbeuteten sie sage und schreibe 81 Millionen Dollar.

Es gibt Hinweise, dass die Lazarous Group von Nordkorea aus operiert. Allerdings ist das nicht sicher. Denn Kaspersky gibt zu bedenken, dass es sich bei den Hinweisen auf den nordkoreanischen Ursprung auch um eine falsche Fährte handeln könnte, mit der die Cyberabwehrexperten getäuscht werden sollen.

Bei der Equation Group - auch bekannt unter dem Namen «Tailored Access Operations»-Einheit - könnte es sich um jene Abteilung der NSA handeln, von der The Shadow Brokers ihre Sicherheitslücken und Cyberwaffen stehlen konnte.

Daneben könnte die NSA-Einheit auch hinter dem berüchtigten Stuxnet-Wurm stecken, mit dem iranische Atomanlagen sabotiert wurden.

Nach Angaben von Kaspersky Lab gehört die Hackergruppe zu den professionellsten ihrer Art. Denn sie verwende Werkzeuge, die sehr kompliziert und teuer zu entwickeln seien. Mit diesen gelingt es der Gruppe laut Kaspersky auf eine sehr professionalle Art und Weise, die Opfer zu infizieren, Daten zu entwenden und die eigenen Spuren zu verwischen. Daneben verwende die Gruppe klassische Spionage-Methoden, um ihren Opfern die bösartige Software unterzujubeln. Alle Merkmale weisen also darauf hin, dass hier staatliche Unterstützung im Spiel sein muss.

Bei Fancy Bear, auch bekannt unter der Bezeichnung APT28 – handelt es sich um jene Hackergruppe, der nachgesagt wird, durch ihre Attacke auf den Parteitag der US-Demokraten den Ausgang der letzten US-Präsidentenwahl beeinflusst zu haben. Sie wird von IT-Sicherheitsfirmen wie Crowdstrike in Russland verortet.

Von dort aus operiere Fancy Bear seit 2008 und attackiere Firmen und Organisationen aus den Bereichen Luft- und Raumfahrt, Verteidigung, Energie, Regierung und Medien. Daneben werden Dissidenten ins Visier genommen.

Für ihre Angriffe verwendet Fancy Bear ein Arsenal ausgeklügelter Malware und Methoden. Zentraler Bestandteil ist dabei gemäss Crowdstrike das bösartige Malwareimplanat Xagent.

Unter anderem ist es Fancy Bear gelungen, in Apple-Geräten ein Spionageprogramm zu installieren, mit dem Tonaufnahmen gemacht und SMS mitgelesen werden können.

Neben der Attacke auf den Parteitag der Demokraten soll Fancy Bear auch hinter den Angriffen auf den Deutschen Bundestag 2015 und auf den französichen Fernsehsender TV 5 Monde im gleichen Jahr stecken.

Hunderte virtuelle Bankraube mit einer Deliktsumme von gut einer Milliarde Dollar gehen womöglich auf das Konto der Hackergruppe Carbanak, alias Fin7. Das Cyberangriffs-Team hat sich auf so genannte Spear-Phishing-Attacken spezialisiert, bei der sehr punktuell Personen in Schlüsselstellungen angegangen werden. Carbanak konnte über leitende Bankangestellte Schadprogramme in die Systeme der Geldinstitute schleussen. So gelang es den Cyberkriminellen etwa, dass Bankomate auf ihr Kommando Geld spuckten.

Immerhin: Der mutmassliche Kopf der Vereinigung sitzt hinter Schloss und Riegel. Im März gelang es Europol nach fünf Jahren Fahndungszeit den Verdächtigen im spanischen Alicante dingfest zu machen.

Vieles deutet gemäss dem US-IT-Sicherheitsspezialisten Fireeye darauf hin, dass die Hackergruppe APT37/Reaper für die nordkoreanische Regierung tätig sein muss. Zwar versucht auch diese Cybergang, ihre Spuren gut zu verwischen. Trotzdem könne man die Schadprogramme, welche die Gruppe für ihre Angriffe verwendet hat, mit nordkoreanischen Personen in Verbindung bringen.

APT37/Reaper hat sich demnach auf die Spionage spezialisiert. Opfer sind Firmen und Organisationen in den Nachbarländern, wobei der Hauptfokus auf Südkorea und Japan gelegt wird. Auch nordkoreanische Flüchtlinge sind gemäss Fireeye im Visier der Hackergruppe. «Wir glauben, dass der Hauptauftrag von APT37 darin besteht, heimlich Informationen zu sammeln, die militärischen, politischen und wirtschaftlichen Interessen von Nordkorea nutzen», stellt Fireeye in seinem Bericht zu APT37 fest.