Mit der Drohung, gestohlene Daten zu veröffentlichen, setzte die Erpressergruppe Conti Unternehmen unter Druck. Im Februar 2022 war sie selbst an der Reihe: Mehr als ein Jahr interner Chats stand plötzlich im Netz. Manche Beobachter merkten an, die Gruppe wisse nun vielleicht, wie es sich anfühlt, selbst Opfer zu sein.
Als Auslöser gilt eine Erklärung der Gruppe selbst. Am Freitag, dem 25. Februar, stellte sich Conti öffentlich hinter die russische Regierung. Einige Stunden später war der Text in einem neutraleren Ton umgeschrieben. Am 27. Februar gingen die Chats trotzdem an Journalisten und Sicherheitsforscher. Der Absender schrieb dazu „Glory to Ukraine!“. Wer dahinterstand, ist nicht bestätigt. Die zuerst veröffentlichten Protokolle reichten von Jänner 2021 bis Februar 2022, später kamen ältere Chats aus dem Jahr 2020 hinzu.
Dieser erste Teil unserer Serie zeigt, wie Conti seine Arbeit organisierte. Teil 2 behandelt den Ablauf eines Angriffs, Teil 3 die spätere Entwicklung der Gruppe.
Der Weg ins Unternehmen
Beginnen wir mit der Personalsuche. Für die Suche nach Entwicklern nutzte Contis Personalabteilung eine Software, mit der sie die Lebenslauf-Datenbank einer Jobbörse durchsuchte und Kandidaten direkt per E-Mail anschrieb. Im Bewerbungsgespräch sagte ein Manager einem möglichen Entwickler, hier sei alles anonym, und die Firma baue Software für Pentester, also für Sicherheitstests im Auftrag von Unternehmen. Tatsächlich griff Conti Unternehmen ohne Auftrag an.
Wie es nach der Einstellung weiterging, beschrieb ein Mitglied der Führung in einem anderen Chat: Ein Entwickler arbeite möglicherweise nur an einem einzelnen Baustein, ohne das Gesamtprojekt zu kennen. Erkenne er den Zweck seiner Arbeit nach vielen Stunden doch, biete Conti ihm eine Gehaltserhöhung an. Ein Sicherheitsforscher sagte, es gebe Belege dafür, dass nicht alle Mitarbeiter wüssten, Teil einer Cybercrime-Gruppe zu sein, manche hielten ihren Arbeitgeber demnach für eine Werbefirma. Wie viele das waren und was jeder Einzelne wusste, lässt sich nicht sagen.
Ein Betrieb mit Alltag
Auch im Alltag erinnert vieles an ein gewöhnliches Unternehmen. Am 18. Juli 2021 schrieb ein Manager, Conti beschäftige 62 Leute, meist einfache Programmierer und Tester. Zwölf Tage später waren es nach seiner Aussage 87 Beschäftigte mit Gehalt, weitere Einstellungen standen an. Die Belegschaft schwankte nach Einschätzung von Beobachtern von Monat zu Monat stark. Es gab Teamleiter, die an das obere Management berichteten, und spezialisierte Aufgaben. Tester prüften, ob Sicherheitsprogramme die Schadsoftware erkannten, ein Chat nennt dazu einen Takt: Windows Defender erhalte ungefähr alle vier Stunden neue Erkennungsdaten. Andere veränderten den Code, um die Erkennung zu erschweren, und Administratoren kümmerten sich um Server, Domains und Benutzerkonten. Ein Teil der Mitglieder arbeitete in gemeinsamen Büros: Im Jahr 2020 nutzten sie mehrere Teams, im August 2020 kam ein weiteres Büro für Administratoren und Programmierer hinzu.
Dass bei dieser Arbeitsteilung Fehler passierten, zeigt eine Meldung eines Mitarbeiters an die Führung: Er habe vergessen, eine Domain zu bezahlen, und dadurch seien vermutlich Bots verloren gegangen, also ferngesteuerte infizierte Rechner. Ein Beobachter der Chats sieht darin ein Muster: Immer wieder verlor die Gruppe wegen einfacher Versäumnisse die Kontrolle über zahlreiche Bots.
Für die Beschäftigten waren die Arbeitstage nach den Chats oft belastend. Viele klagten über Arbeit ohne Schlaf und Pausen, während die obere Ebene Urlaubswünsche ignorierte. Nach Einschätzung eines Beobachters waren Fluktuation und Erschöpfung bei den einfachen Beschäftigten hoch. Ein technischer Verantwortlicher schrieb, die Arbeit sei nicht schwierig, aber monoton.
Bezahlt wurde in Bitcoin, ein- oder zweimal im Monat, zumindest bei Entwicklern und einigen Managern. Wie viel es war, bleibt offen: Eine Auswertung nennt für die meisten Beschäftigten 1.000 bis 2.000 US-Dollar im Monat, ohne dafür eine Quelle anzugeben. Der Manager, der im Juli 2021 die Beschäftigtenzahlen nannte, schrieb dagegen von Beispielen für Programmierer, die „normal arbeiten“ und 5.000 bis 10.000 US-Dollar verdienten.
Conti führte seine Leute mit Prämien und Strafen. Wer neue Entwickler empfahl, bekam einen Bonus in Höhe von deren zweitem Gehalt, sofern die Person länger als einen Monat blieb. Für den „Mitarbeiter des Monats“ gab es zusätzlich 50 Prozent des Gehalts, finanziert aus intern verhängten Geldstrafen. In einem dokumentierten Fall musste ein Mitglied 100 US-Dollar Strafe zahlen, weil es eine Einzahlung versäumt hatte, für die es zuständig war. Dazu kamen Kündigungsdrohungen, Jahresgespräche und Trainings.
Conti arbeitete nicht isoliert. Die Chats zeigen Verbindungen zu TrickBot und Emotet, unter anderem wurden Zugänge zu infizierten Rechnern gemietet. Auch der Zugang zu einem Unternehmensnetz konnte also Teil einer Arbeitsteilung zwischen verschiedenen Beteiligten sein.
Die Seite der Opfer
Für Unternehmen, die angegriffen wurden, wirkten mehrere Teams zusammen. Ein Angriffsteam versuchte nach dem ersten Zugriff, weitere Systeme zu erreichen und zusätzliche Rechte zu erhalten, Ziel waren weitreichende Administratorrechte, mit denen sich große Teile des Firmennetzes kontrollieren ließen. Andere Mitglieder recherchierten Branche und Umsatz des Unternehmens, um die Lösegeldforderung festzulegen. Die Verhandler agierten im Tor-Chat mit den Opfern wie „Kundenservice-Mitarbeiter“, und das Verhandlungsteam samt Recherche erhielt eine Provision von 0,5 bis 1 Prozent des gezahlten Lösegelds. Verstrich die Zahlungsfrist, war die Veröffentlichung der Daten auf dem Leak-Blog der Gruppe geplant, einer Webseite für gestohlene Opferdaten.
Nach dem Leak
Schon vor dem Leak lief es nicht rund: Im Jänner und Februar 2022 klagten Mitglieder über Probleme bei der Auszahlung ihrer Gehälter, nach Berichten blieben Zahlungen aus. Nach den Veröffentlichungen räumten sie Teile ihrer Infrastruktur auf und wechselten die Kommunikationswege. Am 2. März 2022 wurde berichtet, dass offengelegte Infrastruktur abgeschaltet wurde. Am 9. März beobachteten Analysten wieder normalen Betrieb. Wie ein Angriff dieser Gruppe ablief, zeigt Teil 2 unserer Serie.
Wenn Sie die Grundlagen Ihrer eigenen IT-Absicherung durchgehen möchten, bietet unser Selbstcheck mit 15 Fragen einen ersten Überblick.
Quellen
- Check Point Research – ausführliche Analyse (10. März 2022)
- Check Point – Zusammenfassung der Untersuchung (10. März 2022)
- Krebs on Security – Conti Ransomware Group Diaries, Part II: The Office (2. März 2022)
- Rapid7 – Conti-Chats und unmittelbare Folgen (1. März 2022)
- The Record – damalige Berichterstattung zum Leak (28. Februar 2022)
- eSentire – Umfang der verschiedenen Veröffentlichungen (18. März 2022)
- TechCrunch – Conti ransomware chats leaked (28. Februar 2022)
- CNBC – Conti-Leak: Aufbau der Gruppe (13. April 2022)