KillNet zielt auf den Gesundheitssektor: Was Sie wissen müssen

Das US-Gesundheitsministerium (HHS) hat einen Analysten-Hinweis zu der Hacktivisten-Gruppe KillNet und ihre Angriffe auf das Gesundheitswesen und den öffentlichen Gesundheitssektor herausgegeben. KillNet ist eine pro-russische Hackergruppe, die Cyberangriffe auf Ziele in den USA und anderen ukrainefreundlichen Ländern durchführt. Im Dezember 2022 übernahm KillNet die Verantwortung dafür, dass Websites in Verbindung mit dem US-Handelsministerium und der US-Behörde für Cybersecurity und Infrastruktur-Security (CISA) deaktiviert wurden.

Wer ist KillNet?

KillNet bezeichnet sich selbst als „patriotische russische Gruppe“, auch wenn zurzeit nicht bestätigt ist, dass sie Verbindungen zu offiziellen russischen Regierungsorganisationen hat. Die Gruppe gehörte zu den Mitbegründern des „Infinity“-Forums als Plattform für „Pro-Kreml-Hacktivisten“, um Techniken, Tools und andere Ressourcen und Kenntnisse zu teilen. KillNet verwendete die Plattform auch, um Mittel über Bitcoin zu aufzubringen. Obwohl das Forum an beiden Fronten erfolgreich war, gab KillNet im Februar bekannt, dass es das Forum verkaufen würde, um „in den Untergrund“ zu gehen.

Die Gruppe nahm immer europäische Länder ins Visier, deren Einstellung nicht Kreml-freundlich ist, konzentrierte sich jedoch nach Beginn des Russland-Ukraine-Krieges auf NATO- und pro-Ukraine-Länder. Im Februar übernahm die Gruppe die Verantwortung für Angriffe auf die NATO, die Unterbrechungen der Hilfe für die Opfer des türkisch-syrischen Erdbebens zur Folge hatten. Die Angriffe richteten sich gegen das NATO-Hauptquartier für Sondereinsätze, die Einsatzmöglichkeit für strategischen Lufttransport und das von der NATO eingeschränkte Kommunikationsnetzwerk. Der Anführer von KillNet kündigte die Angriffe in einem Telegram-Kanal an:

KillNet übernahm auch die Verantwortung für Angriffe gegen Lockheed Martin, mehrere Ziele in Lettland und andere bekannte Ziele.

Welcher Art ist die Bedrohung?

Es ist nicht möglich, eine einzelne Bedrohung durch KillNet-Aktivitäten zu identifizieren, da der Einfluss dieser Gruppe kleine Wellen erzeugt, die zu großen Wellen werden können. Die Gruppe hat sich auf Distributed-Denial-of-Service-Angriffe (DDoS) beschränkt, die keine ernsthaften Schäden an Systemen verursachten, obwohl größere Ausfälle mehrere Stunden oder Tage dauern können. Die Serviceausfälle sind die eigentliche Bedrohung für Infrastruktur, Wirtschaft und Menschenleben. 

Die Schlagzeilen sind voll von Berichten über Ransomware Angriffe, aber ein strategischer DDoS-Angriff kann große Schäden verursachen. Der HHS Analysten-Hinweis erwähnt, dass eine Liste der KillNet-Angriffsziele Krankenhäuser und medizinische Organisationen in mehreren Ländern beinhaltet. Mitglieder von KillNet haben auch die Absicht geltend gemacht, Beatmungsgeräte in Krankenhäusern und andere spezifische Ziele im Gesundheitswesen anzugreifen. Jede Betriebsunterbrechung dieser Services kann zu lebensbedrohlichen Situationen führen.

KillNet inspiriert außerdem neue pro-russische Bedrohungsakteure und eine wachsende KillNet-Fangemeinde. Ein russischer Rapper hat den Song „Killnetflow (Anonymous diss)“ veröffentlicht (auf YouTube verfügbar), und ein in Moskau ansässiger Juwelier vertreibt eine Reihe von „Bling-Artikeln“ und anderen Waren zum Thema Killnet. Diese Artikel helfen der Marke KillNet bei der Rekrutierung, der Mittelbeschaffung und der Verbreitung der Botschaft. Mit Tools wie DDoS-as-a-Service ist es für neue „Hacktivisten“ viel einfacher, sich an pro-russischen Angriffen zu beteiligen. KillNet profitiert auch von etablierten prorussischen Hackerbanden, die ihre Ressourcen zur Unterstützung bei Angriffen anbieten.

DDoS ist mehr als nur eine Unterbrechung

DDoS-Angriffe bringen oft etwas Unheimlicheres mit sich als eine Serviceunterbrechung. Die Überflutung eines Systems mit einem DDoS-Angriff kann das IT-Team von anderen bösartigen Aktivitäten ablenken. Während die zuständigen Kräfte an der DDoS-Minderung arbeiten, installieren Angreifer möglicherweise Malware, stehlen Daten oder starten einen Ransomware-Angriff.  Ein berüchtigtes Beispiel dafür ist der „Raub“ von 900.000 USD 2012, der in Dutzenden von kleinen Transaktionen während eines DDoS-Angriffs auf die Bank of the West stattfand.

Das ist zwar schon mehr als ein Jahrzehnt her, aber DDoS-Angriffe mit einem höherem Zweck finden auch heute statt. Die Banken sind nach wie vor ein beliebtes Ziel, und der Grund dafür kann ideologischer oder finanzieller Natur sein. Einige Ransomware-Banden nutzen auch die Androhung eines DDoS-Angriffs, um die Opfer zum Verhandeln zu zwingen. Der HHS Analysten-Hinweis warnt ausdrücklich vor diesen zusätzlichen erpresserischen Bedrohungen.

Verteidigen Sie sich

Barracuda WAF-as-a-Service ist eine hervorragende Lösung, um Ihre Web-Applikation vor DDoS und anderen Angriffen zu schützen. Wir helfen Ihnen beim Einstieg mit einer Demo und einer kostenlosen Testversion, die Sie innerhalb weniger Minuten bereitstellen können. Die Bereitstellung einer Web Application Firewall gehört zu den wichtigsten Schritten, die Sie zum Schutz Ihres Unternehmens unternehmen können, ist aber nur ein Teil einer Gesamtstrategie:

• Stellen Sie nach Möglichkeit sicher, dass Ihre Anwendung unter Berücksichtigung von Security und Skalierbarkeit entwickelt wurde.  Dies bietet eine zusätzliche Schutzebene gegen einen Angriff.
• Informieren Sie sich über die Schutzmaßnahmen, die möglicherweise über Ihre Internet- und Cloud-Serviceanbieter verfügbar sind. Ihre Serviceverträge können Unterstützung bei der DDoS-Abwehr beinhalten.
• Beziehen Sie DDoS-Angriffe in Ihre allgemeine Security-Strategie und Ihre Pläne zur Reaktion auf Vorfälle ein. Auf diese Weise können Sie Angriffe identifizieren, mindern und sicherstellen, dass andere Ressourcen nicht angegriffen werden.

Besuchen Sie unsere Website für weitere Informationen über Barracuda WAF-as-a-Service und unsere anderen Anwendungssicherheitslösungen. Weitere Ideen zum Schutz vor DDoS-Angriffen finden Sie in der CISA-Veröffentlichung „Understanding and Responding to Distributed Denial-of-Service Attacks“.

Ressourcen

• Gemeinsamer Leitfaden von CISA FBI MS-ISAC zur Reaktion auf DDoS-Angriffe und DDoS-Leitfaden für Bundesbehörden
• Russische staatlich geförderte und kriminelle Cyber-Bedrohungen für kritische Infrastrukturen
• DDoS-Angriff auf die institutionelle Website des CSIRT Italia. Vorläufige Analyse
• Technisches Whitepaper – Leitfaden für DDoS-Angriffe