SandWorm, die APT-Hacker hinter NotPetya und Industroyer
SandWorm ist eine der berüchtigtsten Advanced Persistent Threat (APT)-Gruppen. Seine Aktivitäten lassen sich bis ins Jahr 2009 zurückverfolgen, und er war an zahlreichen Angriffen auf Organisationen und Nationen beteiligt, die sich Russland widersetzen. Cybersicherheitsexperten glauben, dass die SandWorm APT-Gruppe eine Unterabteilung des russischen Militärgeheimdienstes GRU sein könnte. In früheren Kampagnen wurden die SandWorm-Hacker auch unter den Aliasnamen Iron Viking, Telebots und anderen bezeichnet.
In den letzten Jahren hat der SandWorm mit dem Einsatz von zerstörerischer und neuartiger Malware, die in sorgfältig orchestrierten Angriffen eingesetzt wurde, unzählige Male Schlagzeilen gemacht. Eines der berüchtigtsten Implantate, mit denen der SandWorm in Verbindung gebracht wird, ist die NotPetya Ransomware – eine der ersten Bedrohungen, die darauf abzielt, den Master Boot Record (MBR) anstelle einzelner Dateien zu beschädigen. Durch das Löschen des MBR von Festplatten stellte die NotPetya Ransomware sicher, dass die kompromittierten Systeme überhaupt nicht mehr booten konnten.
Zerstörerische Malware scheint die Spezialität von SandWorm zu sein, und sie sind auch für die Verwendung anderer hochkarätiger Wischer wie Olympic Destroyer und Industroyer verantwortlich. Ersterer war an einem Cyberangriff beteiligt, der während der Eröffnung der Olympischen Winterspiele 2018 stattfand. In der Zwischenzeit ist Industroyer ein bösartiges Implantat, das speziell entwickelt wurde, um auf industrielle Steuerungssysteme (ICS) abzuzielen, die in Stromnetzinstallationen verwendet werden. Die SandWorm-Hacker setzten Industroyer 2016 bei Angriffen auf das ukrainische Stromnetz ein.
Die neuesten Nachrichten über SandWorm stehen im Zusammenhang mit Industroyer2, einem Nachfolger des berüchtigten Implantats, das sie 2016 verwendet haben. Die SandWorm-Hacker verwendeten es im April 2022 bei einem weiteren Angriff auf das ukrainische Stromnetz. Ziel der Operation war es, einen Blackout auszulösen, genau wie den, den die Hacker im Dezember 2015 orchestriert hatten.
