Groove Gang: McAfee Enterprise mit neuen Erkenntnissen über Ransomware-as-a-Service-Gruppe

Aktuelle Forschungsergebnisse rund um neue RaaS-Gruppe veröffentlicht

[datensicherheit.de, 16.09.2021] Das „Advanced Threat Research Team“ von McAfee Enterprise hat an 9. September 2021 aktuelle Forschungsergebnisse rund um die neue RaaS-Gruppe (Ransomware-as-a-Service) „Groove Gang“ veröffentlicht. Sie haben nach eigenen Angaben herausgefunden, dass die „Groove Gang“ mit hoher Wahrscheinlichkeit in enger Verbindung mit der „Babuk“-Ransomware-Gruppe stehe – entweder als ehemaliger Partner oder als eine direkte Untergruppe. Diese Analyse schließe sich an die laufenden Untersuchungen von McAfee Enterprise über die „Babuk“-Ransomware-Gruppe an.

Groove Gang mit eigenem Profil in der Ransomware-as-a-Service-Szene

Über Jahre hinweg sei die RaaS-Szene als hierarchisch und durchaus strukturierte Organisation wahrgenommen worden. Die Cyber-Kriminellen rund um die „Groove Gang“ ließen die früheren RaaS-Hierarchien allerdings gerne beiseite und konzentrierten sich auf die unrechtmäßigen Gewinne, welche durch die Kontrolle der Netzwerke der Opfer erzielt werden könnten, anstatt wie bisher die Kontrolle über die Ransomware selbst zu priorisieren. Die wichtigsten Ergebnisse der neuen Forschung des „Advanced Threat Research Teams“ sind:

• Der Fallout:
  Nach dem turbulenten „Shutdown“ der „Babuk“-Gruppe und den Auswirkungen der Angriffe auf die Colonial Pipeline und Kaseya schienen einige Cyber-Kriminelle der Ransomware-Szene in einem Forum namens „RAMP“ ein neues Zuhause gefunden zu haben. RAMP sei im Juli 2021 gegründet und ursprünglich auf der gleichen „TOR“-basierten Ressource gehostet worden, welche zuvor einen von der „Babuk“-Ransomware-Gruppe betriebenen Blog sowie den „Payload.bin“-Marktplatz für geleakte Unternehmensdaten beherbergt habe.
• Der Auslöser:
  Einige beliebte Foren für Cyber-Kriminelle hätten Ransomware-Akteuren seit dem Colonial-Pipeline-Angriff untersagt, ihre Plattform für Werbung zu nutzen, was es RaaS-Gruppen erschwere, Glaubwürdigkeit aufzubauen und ihre derzeitige Spitzenposition im Untergrund beizubehalten.
• Die böswilligen Akteure:
  Der Cyber-Kriminelle bekannt unter dem Namen „Orange“ habe innerhalb der Szene zur Zusammenarbeit aufgerufen und darauf hingewiesen, dass die „Groove Gang“ seit zwei Jahren eine finanziell motivierte kriminelle Organisation sei, welche sich mit Industriespionage befasse. Er habe behauptet, dass einige Opfer der Angriffe von „Babuk“ der „Groove“-Gruppe zu viel Aufmerksamkeit verholfen hätten.
• Finanzielle Motivation:
  Aufgrund des Zusammenfalls von „Babuk“, der Ähnlichkeiten zwischen den RaaS-Gruppen und der Entwicklung im Untergrund, gingen Forscher von McAfee Enterprise davon aus, dass es sich bei der „Groove Gang“ um ehemalige Mitglieder oder eine Untergruppe von „Babuk“ handele. Diese Gruppe sei bereit, mit anderen Parteien zusammenzuarbeiten, solange es für sie dabei einen finanziellen Gewinn gebe.

Ransomware-Unterwelt im Umbruch

Die sich verändernde cyber-kriminelle Untergrundlandschaft habe die perfekte Gelegenheit für den Bedrohungsakteur „Orange“ geschaffen – mit der „Groove Gang“ im Schlepptau, welche neue Arbeitsweisen angeboten habe, bei denen der Wert eines Mitarbeiters ausschließlich auf seiner Fähigkeit basiert habe Lösegeld zu verdienen. Dies bestätige im Wesentlichen die Überzeugung von McAfee Enterprise, dass „Groove Gang“ und „Babuk“ miteinander verbunden seien.

Weitere Informationen zum Thema:

McAfee, Max Kersten & John Fokker & Thibault Seret, 08.09.2021
How Groove Gang is Shaking up the Ransomware-as-a-Service Market to Empower Affiliates