Hackerbanden gründen das Cybercrime-Syndikat „Five Families“.

Die Gruppen sagen, dass sie an gemeinsamen Zielen zusammenarbeiten werden und damit den Trend fortsetzen, dass sich Cyberkriminelle zusammenschließen, um Ressourcen zu bündeln.

Von Claudia Glover

Vier Hacker-Banden und ein Malware-Forum schließen sich zu einem gemeinsamen Ransomware-Kollektiv zusammen, das sich „Five Families“ nennt. Ziel der Allianz ist es, „eine bessere Einheit und Verbindungen für alle in der Untergrundwelt des Internets zu schaffen“.

Laut einem heutigen Beitrag auf Telegram wird ein Anführer jeder einzelnen Bande dabei helfen, die Tagesordnung für die Gruppe festzulegen.

Die Five Families beschreiben sich selbst als eine „Gruppe, die gegründet wurde, um eine bessere Einheit und Verbindungen für alle in der Untergrundwelt des Internets zu schaffen und unsere Arbeit und unsere Aktivitäten zu erweitern und auszubauen“. Der Name wurde fünf prominenten italienisch-amerikanischen Familien gegeben, die in den 1950er und 1960er Jahren an der New Yorker Mafia beteiligt waren.

Die Hackergruppen ThreatSec, GhostSec, Stormous, Blackforums und SiegedSec haben sich zu einem gemeinsamen Kollektiv namens „The Five Families“ zusammengeschlossen. Darüber hinaus hat dieses Kollektiv Hinweise auf zukünftige Kooperationsoperationen hinterlassen.#CTI #ThreatIntel #Infosec… pic.twitter.com/khTV9wKaxT

Die beteiligten Ransomware-Banden sind alle gut etabliert und jede hat eine lange Liste von Opfern. SiegedSec ist eine Hacktivismus-Gruppe, die behauptet, eine linke politische Agenda zu fördern und sich durch Hacking und Veröffentlichung gestohlener Dokumente gegen die Politik der US-Regierung zu stellen.

Im Juni verteilte es gehackte Materialien von Behörden in sechs US-Bundesstaaten, um das Bewusstsein zu schärfen und gegen Gesetze zu protestieren, die sich auf die geschlechtsspezifische Pflege auswirken. Der Datendump umfasste Polizeiakten aus South Carolina, eine Liste von Therapeuten in Texas und Kontaktdaten von Gerichtsbeamten in Nebraska.

Letztes Jahr behauptete SiegedSec, aus Protest gegen die Aufhebung der Entscheidung Roe vs. Wade, die Frauen das Recht auf Abtreibung garantierte, 8 GB gestohlener Daten von zwei US-Bundesstaaten online preiszugeben.

Die Bande hat sich in der Vergangenheit mit einem anderen Mitglied des Kollektivs, GhostSec, zusammengetan, einer prominenten Dark-Web-Hacker-Bande, die während des Krieges in der Ukraine aktiv gegen russische Streitkräfte vorging. Laut einem Bericht über Hacktivismus des Sicherheitsanbieters Mandiant zielten GhostSec und SiegedSec im Juni 2022 auf operative Technologieanlagen – Systeme zur Steuerung und Überwachung von Industrieanlagen – in den USA, Israel und Russland.

GhostSec arbeitet außerdem mit der arabischsprachigen Ransomware-Bande Stormous zusammen, einem weiteren Mitglied des Five Families-Kollektivs. Am 13. Juli gaben die beiden Banden ihre Absichten zur Zusammenarbeit offiziell auf Telegram bekannt und erklärten dort ihre Zusammenarbeit bei Angriffen auf Organisationen in Kuba. Stormous ist seit Mitte 2021 aktiv und ging letztes Jahr in die Medien, als es behauptete, über 161 GB Daten von Coca-Cola zu verfügen, und forderte 16 Millionen Bitcoin vom globalen Getränkekonzern.

Das letzte Mitglied im Kollektiv ist ThreatSec, das Banken und Regierungen ins Visier nimmt, von denen es annimmt, dass sie gegen die Menschenrechte verstoßen, wie zum Beispiel Iran und Aserbaidschan. Zu den vier Gruppen gesellt sich das Malware-Forum BlackForums, in dem häufig Ransomware-Daten abgelegt und Malware zum Verkauf angeboten wird. Das Forum ist im Clear Web verfügbar.

Hacker-Syndikate sind im Bereich der Cyberkriminalität nichts Neues. Kürzlich haben Sicherheitsanalysten von Sophos die russischen Ransomware-Banden BlackBasta, Hive und Royal miteinander in Verbindung gebracht und erklärt, dass „granulare Ähnlichkeiten“ zwischen den Gruppen darauf hindeuten, dass alle drei technische Details ihrer Aktivitäten teilen oder zumindest gemeinsame Partner haben.

Andrew Brandt, leitender Forscher bei SophosLabs und einer der Autoren des Berichts, sagte Anfang des Monats auf der BlackHat-Konferenz in Las Vegas: „Weil das Ransomware-as-a-Service-Modell erfordert, dass externe Partner Angriffe durchführen, ist das der Fall.“ Nicht selten kommt es zu Überschneidungen in den Taktiken, Techniken und Verfahren zwischen diesen verschiedenen Ransomware-Gruppen.“

Conti, eine weitere produktive russische Ransomware-Gruppe, arbeitete nachweislich eng mit den Gruppen LockBit, Maze und Ryuk zusammen, als letztes Jahr online Dateien durchsickerten, die das Innenleben der Gruppe belegen.