Anonymous hackt Rosneft Deutschland, 20 Terabyte Daten abgezogen

[English]Aktivisten des Hacker-Kollektivs Anonymous haben ja Aktionen nach dem Eindringen der russischen Armee in die Ukraine Angriffe gegen russische Firmen angekündigt. Presseberichten zufolge hat Anonymous den deutschen Ableger des russischen Energieriesen Rosneft erfolgreich gehackt. Dabei konnten 20 Terabyte an Daten abgezogen werden, bevor der Hack entdeckt und weitere Zugriffe unterbunden wurden.

Mir sind bereits gestern Abend Berichte von Reuters (english) und beispielsweise des Redaktionsnetzwerk Deutschland (RND) unter die Augen gekommen. Auf Twitter weist nachfolgender Tweet von anonleaks.nl auf den Sachverhalt hin.

Zum Sachverhalt: Auf Anonleaks wird bereits zum 11. März 2022 berichtet, dass Aktivisten Zugriff auf die Server von Rosneft Deutschland, einer Tochter des russischen Mineralölkonzerns, erlangt hätten. Im Beitrag wird die Rolle des russischen Mineralöl-Konzerns Rosneft und seiner deutschen Tochter thematisiert. So liefert Rosneft Deutschland nicht nur Produkte wie Bitumen, Flugzeugbenzin und Schmierstoffe, sondern organisiert auch die Betankung von Flugzeugen auf diversen Flughäfen. Russland-Experte Stefan Meister von der Deutschen Gesellschaft für Auswärtige Politik wird dort folgendermaßen zitiert:

Schröder verleiht dem Konzern internationales Renommee, Glaubwürdigkeit, Seriosität. Das ist wichtig für Rosneft, das kein normales Unternehmen ist, sondern zunächst vor allem der Selbstbereicherung von Leuten aus Putins Umfeld diente.

Es gibt Sanktionen gegen Rosneft – aber eine vollständig unberührte Tochter im Ausland ließe sich zur Umgehung von Sanktionen nutzen, so dass über solche Beteiligungen immer noch Devisen nach Russland spülen. Anonymous gibt diese Verbandelung als Grund an, sich mal genauer auf den IT-Systemen von Rosneft Deutschland umzusehen. Dazu heißt es:

Für einige Anons aus Deutschland ist das genau ein Grund, sich Rosneft Deutschland genauer anzuschauen. Nicht wegen der Raffinerien, sondern wegen des Lobbyismus, der Sanktionen.

Die Anons wollten nicht direkt in den russischen Energieunternehmen rumfuhrwerken … gerade der Energiesektor ist ein heißes Eisen, da es einige sanktionierende Staaten gibt, deren Energieversorgung an Russland gekoppelt ist. Da will man keine Teller zerkloppen oder irgendwelche Pipelines an und ausschalten oder sowas. Nicht mal aus Versehen.

Doch Rosneft Deutschland ist interessant genug. Dieses Unternehmen ist hauptsächlich im Vertrieb, An- und Verkauf, Lieferung an die Raffinerien tätig … und was noch? Keine kritische Infrastruktur, die man aus Versehen kaputt machen könnte. Keine Pipelines, die man abschalten könnte, keine Atomreaktoren, ja selbst die Raffinierien würden weiterarbeiten.

Anonymous Aktivsten ist es gelungen, Zugriff auf die Server von Rosneft Deutschland zu erlangen und große Mengen an Daten (20 Terabyte) abzugreifen. Man sei dabei sehr tief in die Systeme von Rosneft Deutschland eingedrungen, heißt es auf Anonleaks. Das Eindringen sei so tief gewesen, dass man problemlos Backups von Laptops der Beschäftigten und Führungskräfte fand.

Backups von Rosneft Deutschland, Quelle. Anonleaks

Darüber hinaus reklamiert Anonymous, dass man Zugriff auf sämtliche Virtuellen Maschinen des Unternehmens, die USV und mehr hatte. Das Kollektiv begann dann die verfügbaren Daten per FTP-Verbindung zu transferieren. Trotz 5.5GB/s Transferrate dauert so ein Vorgang einige Zeit. Die Aktivisten geben an, dass man 2 Wochen im System gewesen sei, der Download  aber am 10. März 2022 plötzlich gestoppt wurde. Dazu heißt es:

Nicht, weil man erwischt wurde, das nicht, man war seit fast zwei Wochen kontinuierlich und pausenlos in den Systemen und lud die Daten. Doch am vergangenen Freitag brach die an sich sehr stabile FTP-Verbindung ab, weil deren gesamtes System am Abend die Grätsche machte, auf einmal kein Internet mehr. Der Entry-Point selbst funktionierte noch, aber weiter kam man nicht, da das genutzte System dahinter selbst nicht mehr mit dem Internet verbunden war.

Wir wissen nicht, ob jemand den falschen Stecker gezogen hat. Es machte laut Anons den Anschein, als habe jemand die Firewall des Systems geputtet. Man konnte keinen anderen User mehr im System sehen, Internet war weg, wahrscheinlich hatte Rosneft und die IT selbst keinen Zugriff mehr.

Von den 25 Terabyte an möglichen Daten konnten bis zum Donnerstag, den 10. März 2022, daher nur 20 Terabyte kopiert werden. Die Hacker schreiben, dass man von den Betreibern mehr auf die Service-Accounts von Druckern im Active Directory achten solle – denn über diesen Vektor scheint der Hack gelaufen zu sein. Ein zweiter Hack war zwar erfolgreich, aber die Sitzung wurde kurz nach der Wiederaufnahme des Downloads wieder geschlossen. Anonymous reklamiert, dass man aber ein wenig Verwirrung gestiftet und iPhones remote zurückgesetzt oder Geräte um Netzwerk "umgestaltet" habe.

Die Anonymous-Hacker wollen die erbeuteten Daten sichten, und dann überlegen, was sie damit machen. Sicher ist bereits, so die Aussage der Hacker, dass diese Daten nicht öffentlich geleakt werden. Denn der Effekt eines öffentlichen Leaks wäre geringer als der Gewinn, den Mitbewerber daraus ziehen könnten, schreibt man. Der Artikel auf Anonleaks ist sehr aufschlussreich.

Inzwischen hat wohl das Bundesamt für Sicherheit in der Informations­technik (BSI) den Hackerangriff auf die deutsche Rosneft-Tochter gegenüber Medien wie Spiegel und Welt bestätigt. Diese Medien berichten, dass das Unternehmen (die als Energielieferant Teil der kritischen Infrastruktur sind) den Angriff selbst gemeldet habe. Beim RND heißt es, dass das BSI Sicherheitswarnungen an andere Unternehmen und Organisationen der Mineralöl­wirtschaft herausgegeben habe. Die Staats­anwaltschaft Berlin soll wegen des Hackerangriffs ein Ermittlungs­verfahren eingeleitet haben. Das Bundes­kriminalamt ist laut Bericht des Spiegel mit den Ermittlungen beauftragt worden.