Eine neue Erpressergruppe nimmt den Finanzsektor ins Visier

Eine Welle von Cyberangriffen auf Hedgefonds, Private-Equity-Firmen und andere Finanzorganisationen wird mit UNC6671 in Verbindung gebracht, einer Erpressergruppe, die Berichten zufolge mit den BlackFile-Bedrohungsakteuren assoziiert ist. Die von BleepingComputer gemeldete Verbindung deutet auf eine koordinierte Kampagne hin, die gezielt auf einige der kapitalstärksten, aber historisch wenig überprüften Bereiche der Finanzbranche abzielt.

Hedgefonds und Private-Equity-Firmen verwalten enorme Kapitalsummen und halten sensible Daten über Investoren, Deal-Pipelines und Portfoliounternehmen. Diese Kombination aus hochwertigen Informationen und – in vielen Fällen – schlankeren Sicherheitsteams als bei großen Banken macht sie zu einem attraktiven Ziel für Gruppen, die sich eher auf Erpressung als auf die klassische Ransomware-Verschlüsselung spezialisiert haben.

Wer sind UNC6671 und BlackFile?

UNC6671 ist die Bezeichnung, unter der diese spezifischen Eindringversuche verfolgt werden. Die berichtete Verbindung zu BlackFile deutet auf ein gemeinsames Toolkit, eine gemeinsame Infrastruktur oder ein gemeinsames operatives Playbook hin. Erpressergruppen dieser Art folgen typischerweise einem bekannten Muster: Sie verschaffen sich Zugang zu einem Netzwerk, exfiltrieren unbemerkt sensible Dateien und setzen das Opfer dann unter Druck, zu zahlen, indem sie androhen, die gestohlenen Daten öffentlich zu machen. Anders als klassische Ransomware-Betreiber, die sich auf die Verschlüsselung von Systemen und die Forderung nach einer Zahlung für den Entschlüsselungscode konzentrieren, verzichten erpressungsorientierte Gruppen oft ganz auf die Verschlüsselung und verlassen sich ausschließlich auf die Drohung mit der Bloßstellung – was für die Verteidiger schwerer zu erkennen sein kann, bis der Schaden bereits eingetreten ist.

Dieses Vorgehen spiegelt wider, was sich in anderen jüngsten Vorfällen abgespielt hat. Beim Stadler-Rail-Datenleck beispielsweise forderte die Everest-Bande eine millionenschwere Zahlung im Zusammenhang mit einem Einbruch in eine Datenaustauschplattform – und keine systemweite Blockade. Erpressungsbasierte Taktiken haben branchenübergreifend genau deshalb stark zugenommen, weil sie weniger technischen Aufwand erfordern als der Einsatz und die Verwaltung von Ransomware-Payloads, den Angreifern aber dennoch erheblichen Druck auf Opfer verschaffen, die Reputations- und regulatorische Folgen fürchten.

Warum Finanzunternehmen bevorzugte Ziele sind

Hedgefonds und Private-Equity-Firmen nehmen eine einzigartige Stellung in der Bedrohungslandschaft ein. Sie verarbeiten vertrauliche Investoreninformationen, nicht öffentliche Deal-Details und Finanzdaten, die nicht nur für Erpressung, sondern potenziell auch für Insiderhandel oder Wettbewerbsinformationen wertvoll sein könnten, falls sie durchsickern oder verkauft werden. Im Vergleich zu regulierten Banken arbeiten viele dieser Firmen mit kleineren internen Sicherheitsteams und stützen sich stark auf Drittanbieter, Cloud-Plattformen und Fernzugriffstools – jeder dieser Punkte kann zum Einstiegspunkt für Angreifer werden.

Dies steht im Einklang mit einem breiteren Trend in der diesjährigen Bedrohungslandschaft, bei dem Angreifer zunehmend Edge-Geräte und Fernzugriffsinfrastruktur angreifen, um Fuß zu fassen. Kampagnen rund um den von INC-Ransomware ausgenutzten SonicWall-SMA-1000-Zero-Day und den Cisco-FMC-Zero-Day unter aktivem Angriff zeigen beide, wie schnell Bedrohungsakteure agieren, sobald eine Schwachstelle in weit verbreiteter Unternehmenshardware bekannt wird. Ob UNC6671 auf einen ähnlichen Zugang auf Infrastrukturebene oder eher auf gezieltes Phishing und Social Engineering setzte, wurde noch nicht im Detail berichtet. Die grundlegende Lehre gilt jedoch branchenübergreifend: Der Perimeter ist nur so stark wie sein schwächster, am wenigsten überwachter Einstiegspunkt.

Was das für Sie bedeutet

Wenn Sie bei einem Hedgefonds, einer Private-Equity-Firma oder einem anderen Finanzdienstleistungsunternehmen arbeiten oder über diese investieren, ist diese Kampagne eine Erinnerung daran, dass Ihre persönlichen und finanziellen Daten möglicherweise über Organisationen laufen, die von Erpressergruppen zunehmend als leichte Ziele angesehen werden. Anleger haben in der Regel wenig Einblick darin, wie gut ein Fonds die Daten schützt, die er beim Onboarding, bei der Due Diligence oder bei der laufenden Berichterstattung sammelt.

Für Mitarbeiter dieser Unternehmen ist das Risiko unmittelbarer. Erpressergruppen verschaffen sich den Erstzugang oft durch kompromittierte Zugangsdaten, Phishing-E-Mails oder nicht gepatchte Fernzugriffssoftware – und nicht allein durch ausgeklügelte Zero-Day-Exploits. Das bedeutet, dass grundlegende Hygienemaßnahmen wie Multi-Faktor-Authentifizierung, sorgfältige E-Mail-Verifizierung und zeitnahes Patchen immer noch einen Großteil potenzieller Einstiegspunkte schließen.

Erpressungsbasierten Angriffen einen Schritt voraus

Die Verbindung zwischen UNC6671 und BlackFile unterstreicht, wie Erpressungstaktiken zu einer bevorzugten Strategie für Bedrohungsakteure geworden sind, die den Finanzsektor ins Visier nehmen – wo allein das Reputationsrisiko ausreichen kann, um eine Zahlung zu erzwingen. Wie bei anderen jüngsten Vorfällen, etwa im Fall der Qilin-Ransomware, die eine PAN-OS-Bypass-Schwachstelle ausnutzt, ist das Muster konsistent: Angreifer suchen den Weg des geringsten Widerstands in wertvolle Netzwerke und setzen dann eher auf die Offenlegung von Daten als auf Störung, um eine Reaktion zu erzwingen.

Wenn Sie mit einem Hedgefonds, einer Private-Equity-Firma oder einer ähnlichen Finanzinstitution zu tun haben, fragen Sie direkt nach, wie Ihre Daten geschützt werden, ob sensible Unterlagen verschlüsselt sind und welche Incident-Response-Pläne existieren. Für die Unternehmen selbst ist es ein notwendiger Schritt, Erpressergruppen wie UNC6671 als eigenständige und wachsende Risikokategorie zu behandeln – getrennt von traditioneller Ransomware –, um die Lücken zu schließen, die diese Angreifer aktiv ausnutzen.