Russische Ransomware-Gang beginnt mit chinesischen Hackern zusammenzuarbeiten

In den russischen Cybercrime-Foren braut sich eine ungewöhnliche Aktivität zusammen, in der Hacker dabei beobachtet wurden, wie sie mit chinesischen Bedrohungsakteuren zwecks Zusammenarbeit kommunizierten.

Sicherheitsforscher von Flashpoint, einem Threat-Intelligence-Unternehmen, stellten einen deutlichen Anstieg der Aktivitäten von Mandarin sprechenden Bedrohungsakteuren in einem russischen Hacking-Forum namens RAMP und mehreren Communities des Dark Web fest.

Chinesische Bedrohungsakteure wurden ermutigt, mehrere Tipps auszutauschen, sich an Diskussionen zu beteiligen und bei Cyberangriffen zusammenzuarbeiten.

Flashpoint teilte weiter mit, dass die Russen zahlreichen englisch- und mandarinsprachigen Cyberkriminellen Türen in Domänen geöffnet haben, die ihnen einst nur gesperrt waren.

Der Bericht von Flashpoint erwähnte weiter:

„Im Oktober haben Ramp-Administratoren Änderungen an der Benutzeroberfläche des Forums vorgenommen, die es für chinesisch- und englischsprachige Bedrohungsakteure zugänglicher machen”,

Chinesische Bedrohungsakteure in russischen Hacking-Foren

Russische Hacking-Panels sind jetzt neben Russisch auch in Mandarin und Englisch verfügbar. Auch die Forenmitglieder werden von den Admins mittlerweile oft auf Englisch angesprochen.

Kommentare und Inhalte in englischer Sprache werden bei russischen Cyberkriminellen immer beliebter. Hochrangige Forumsmitglieder und Administratoren versuchen, mit den chinesischsprachigen Mitgliedern zu interagieren, indem sie die maschinell generierte chinesische Sprache verwenden.

Die Forscher identifizierten außerdem rund 30 chinesische Bedrohungsakteure im Forum. Sie schlagen vor, dass eine erhebliche Wahrscheinlichkeit, dass Russen dies tun, darin besteht, zu versuchen, eine Allianz mit chinesischen Hackern aufzubauen, um verschiedene Cyberangriffe zu starten, möglicherweise gegen Amerikaner, Handelsanfälligkeiten oder Cyberkriminelle an Bord für Ransomware-as-a-Service (RaaS)-Operationen.

Es wurde mitgeteilt, dass diese Aktion von Kajit initiiert wurde, dem Administrator von RAMP, der behauptete, kürzlich China besucht zu haben und Mandarin zu sprechen.

Die Zusammenarbeit der russischen und chinesischen Bedrohungsakteure beschränkt sich jedoch nicht nur auf RAMP. Eine ähnliche Zusammenarbeit wurde im „XSS-Forum” von Flashpoint festgestellt.

Neue Forschung von Flashpoint erklärt:

„Im Screenshot unten begrüßt der XSS-Benutzer „hoffman” zwei Forumsmitglieder, die sich als Chinesen zu erkennen gegeben haben.”

„Der Angreifer fragt sie, ob sie Informationen über Ransomware und den Kauf verschiedener Arten von Systemschwachstellen bereitstellen könnten. Die Sprache scheint maschinell übersetztes Chinesisch zu sein.”

Quelle: Flashpoint

Im Vormonat rief „Orange” oder „Boriselcin”, ein RAMP-Administrator und Betreiber einer Website namens Groove, Cyberkriminelle dazu auf, die Vereinigten Staaten in einem Post anzugreifen.

Nachdem der Beitrag in den Medien behandelt wurde, erklärte der Administrator, dass es sich um eine gefälschte Operation handeln sollte und nur veröffentlicht wurde, um die Sicherheit und die Medien zu manipulieren.

Russische Bedrohungsakteure sind nicht die einzigen, die die USA für Cyberangriffe ins Visier nehmen wollen. Zuvor hatten iranische Hacker auch amerikanische Organisationen mit Ransomware ins Visier genommen.

Cybersicherheitsforscher von Intel 471 und McAfee erwähnten, dass der Bedrohungsakteur nur versuchte, dies zu vertuschen, da der angestrebte RaaS-Angriff nicht wie geplant verlief.

In einem kürzlich veröffentlichten Beitrag der Conti-Ransomware-Operation auf RAMP wurde die Notwendigkeit erwähnt, Mitarbeiter einzustellen und den ersten Weg zu Netzwerken zu kaufen. Die Bande erwähnt, dass sie nur lieber mit russischen Cyberkriminellen zusammenarbeitet, aber bereit ist, eine Ausnahme für die chinesischen Bedrohungsakteure zu machen.

Diese Anzeige ist auf Russisch, da wir nur mit russischsprachigen Personen arbeiten. ABER aus Respekt vor dem Administrator machen wir eine Ausnahme für chinesischsprachige Benutzer und übersetzen diese Nachricht sogar ins Chinesische (Sie können sie sogar auf Mandarin und Kantonesisch duplizieren!)” – Conti-Ransomware-Operation.

Quelle: BleepingComputer

Daraus scheint es, dass das RAMP-Hacking-Forum Mandarin sprechende Benutzer zu Angriffen ermutigt.