Exit: DarkSide-Gang hat den Zugang zu ihren Servern verloren

[English]Die DarkSide-Cybergang, die für viele Ransomware-Angriffe verantwortlich ist, die "as-a-service" angeboten werden, kündigte ihre Schließung an, nachdem sie die Kontrolle über ihre Server verloren hatten. Sie behaupten, dass ihre Server beschlagnahmt wurden und die Kryptowährung wurde von ihrem Konto zu einem unbekannten Wallet übertragen. Das wurde in einer Nachricht behauptet, die innerhalb des russischen OSINT-Telegram-Kanals und auch auf der Website der Cyber-Gangs gepostet wurde. Ergänzung: Eine Analyse ergab, dass die Gang 17,5 Mio. $  Dollar vereinnahmen konnte.

Nach der erfolgreichen Cyber-Attacke auf die US-Firma Colonial Pipeline (siehe Ransomware-Angriff auf US-Pipeline-Betreiber (Mai 2021)) kündigte US Präsident Joe Biden an, dass die USA die Geschäfter der DarkSide-Gang unterbinden werde. Nun scheint die Darkside-Ransomware-Gruppe die Kontrolle über ihre Server verloren zu haben.

Der Threat-Intelligence-Analyst Dmitry Smilyanets von Recorded Future fand einen Beitrag (siehe obiger Tweet), der vom Darkside-Ransomware-Betreiber Darksupp im Exploit-Forum hinterlassen wurde und in dem es heißt:

Since the first version , whe have promised to speak knostly an openly about problems.

A few hours ago, we lost access to the public part of our infrastucture, namely:

Blog

Payment server

SDN server

Now these servers are not available via SSH, the hosting panes are blocked. Hosting support, except for information "At the trequest of law enforcement bodies" does not give other information.

Also, a few hours after the withdrawal, funds from the payment server (ours and clients) were sent to an unknown address.

Der Operator schreibt, dass man "vor ein paar Stunden den Zugriff auf den öffentlichen Teil der Infrastruktur (Blog, Server zur Zahlungsabwicklung, SDN-Server)" verloren habe. Diese Server sind nicht über SSH erreichbar, die Hosting-Panels sind blockiert. Der Hosting-Support der Server gibt außer der Information "Auf Wunsch der Strafverfolgungsbehörden" keine weiteren Informationen, warum der Zugang blockiert wurde. Außerdem seien ein paar Stunden vorher die auf dem Zahlungsserver gespeicherten Kypto-Guthaben (der Ransomware-Gang und deren Kunden) an eine unbekannte Adresse transferiert worden.

The Record schreibt hier, dass Präsident Biden in einer Pressekonferenz am Donnerstag sagte: "Wir standen in direkter Kommunikation mit Moskau und haben über die Notwendigkeit gesprochen, dass die verantwortlichen Länder entschieden gegen diese Ransomware-Netzwerke vorgehen müssen. Wir werden auch Maßnahmen verfolgen, um ihre Fähigkeit zu operieren zu stören." The Record schrieb aber auch, dass die Darkside Group Bidens Aussage dazu genutzt haben könnte, eine Abschaltung ihrer Infrastruktur anzukündigen, die Zahlungen einzufordern und abzuhauen (Exit Scam).

Weitere Details können bei The Records, Bleeping Computer und Krebs on Security nachgelesen werden. Ergänzung: Eine auf dieser Webseite veröffentlichte Analyse ergab, dass die von DarkSide genutzte Bitcoin-Wallet seit März insgesamt 17,5 Mio. $ an Bitcoin-Transaktionen erhielt. Darunter ist auch eine eine Zahlung von 75 Bitcoins Colonial Pipeline.