Gestern, am 19. Dezember, gaben verschiedene internationale und nationale Ermittlungsbehörden eine gross angelegte Aktion gegen die Ransomware-Bande Alphv alias Blackcat bekannt. Man habe die Ransomware-Bande "zerschlagen", teilte das US Department of Justice mit.

Wie 'Watson' berichtet, war an der Aktion auch die Thurgauer Kantonspolizei beteiligt. "Spezialistinnen und Spezialisten der Organisationseinheit Cybercrime bei der Kantonspolizei Thurgau waren involviert in die internationale Ermittlungs-Koordinationsgruppe zum Blackcat-Fall", bestätigte ein Mediensprecher gegenüber 'Watson'. Welche Rolle die Kantonspolizei spielte, gab er nicht bekannt. Die Ermittlungen seien noch am Laufen.

Das FBI kündigte an, über 500 Opfern von Alphv weltweit ein Entschlüsselungstool anzubieten. Die Bande war nach Lockbit die in den letzten Monaten aktivste. Und sie zeigt sich scheinbar unbeeindruckt von der koordinierten Aktion der Behörden.

Kaum war auf den Websites von Alphv im Darknet die Meldung "This Website has been seized" zur Beschlagnahmung durch FBI und anderen Polizeibehörden zu lesen, konterten die Cyberkriminellen wenige Stunden später mit "This website has been unseized". Inzwischen haben sie eine neue Adresse im Darknet aufgeschaltet. Dort wurde auch bereits wieder ein neues Opfer mit Datum vom 19. Dezember publiziert.

Weiter veröffentlichte Alphv eine Erklärung auf Russisch. Darin heisst es übersetzt: "Das Maximum, das sie (FBI) haben, sind die Schlüssel der letzten anderthalb Monate, das sind etwa 400 Unternehmen, aber jetzt werden mehr als 3000 Unternehmen ihre Schlüssel nie erhalten." Man werde sich nun an keine Regeln mehr halten und kritische Infrastrukturen genauso wie Spitäler attackieren. Ausserdem würden die Provisionen für Affilates im Ransomware-as-a-Service-Modell (RaaS) erhöht. Zynisch schliesst die Bekanntgabe: "Wir werden unsere Fehler berücksichtigen und noch härter arbeiten, wir warten auf Ihr Gejammer in Chats und auf Anfragen nach Rabatten, die es nicht mehr geben wird."

Security-Experten versuchen aktuell auf Social Media, dieses Vorgehen von Alphv einzuschätzen. Da es bis jetzt noch zu keinen Verhaftungen oder konkreten Fahndungen nach den Cyberkriminellen kam, glaubt die Mehrheit, dass diese nach wie vor aktiv sind.

Die schnelle Reaktion von Alphv könnte ein Versuch sein, im Wettstreit mit anderen Banden, die RaaS anbieten, weiterhin Präsenz zu markieren. Die Führungsetage muss jetzt Befürchtungen unter Partnern ausräumen, dass Informationen über sie bei den Ermittlungsbehörden gelandet sein könnten. Oder es ist der Versuch, sich eine neue Infrastruktur – womöglich dann unter einem anderen Namen – aufzubauen.

Dieser Ansicht ist auch Nandakishore Harikumar, CEO und Gründer der Security-Firma Technisanct und deren Monitoring-Plattform Falconfeeds.io. Für den Threat-Analysis-Spezialisten ist es eine "dramatische Wendung", dass die Cyberkriminellen die Kontrolle über ihre Website im Darknet wiedererlangt haben. "Das verdeutlicht ein spannendes Katz-und-Maus-Spiel zwischen den Bedrohungsakteuren und den Strafverfolgungsbehörden", erklärt er gegenüber inside-it.ch. "Jüngste Entwicklungen deuten darauf hin, dass Lockbit aktiv Mitglieder von Noescape und sogar von Alphv alias Blackcat rekrutiert hat, was die Intrigen unter den verschiedenen Banden noch verstärkt. Diese Rekrutierungsbemühungen deuten auf eine mögliche Verschiebung in der Cyberkriminalitätslandschaft hin, bei der sich die Mitglieder zu aktiveren und erfolgreicheren Gruppen hinbewegen", so Harikumar.

Das endgültige Ausmass der Strafverfolgungsmassnahmen gegen Alphv bleibe im Moment unklar. "Bislang scheinen sie sich auf die Störung von Domains und Infrastrukturen zu beschränken. Da es keine Verhaftungen gab, besteht die Möglichkeit, dass die Gruppe unter einem anderen Namen wieder auftaucht und ihre illegalen Aktivitäten fortsetzt." Das verdeutliche die Komplexität und Weiterentwicklung der Cyberkriminalität, betont Harikumar. Denn wie die Geschichte leider zeigt, folgt auf die Zerschlagung einer Ransomware-Bande meist ein neue. Update 16.20 Uhr: Der Artikel wurde mit den Einschätzungen von Technisanct ergänzt.