BERLIN – Die deutsche Polizei sagte am Montag, sie habe eine mit Russland verbundene Ransomware-Cyberkriminellenbande festgenommen, die seit Jahren große Unternehmen und Institutionen erpresst und Millionen von Euro einstreicht.

In Zusammenarbeit mit Strafverfolgungspartnern wie Europol, dem FBI und ukrainischen Behörden sagte die Düsseldorfer Polizei, sie sei in der Lage, 11 Personen zu identifizieren, die mit einer Gruppe in Verbindung stehen, die seit mindestens minus 2010 in verschiedenen Verkleidungen operiert.

Die als DoppelPaymer bekannte Bande, die angeblich hinter der Ransomware steckt, scheint mit Evil Corp in Verbindung zu stehen, einem in Russland ansässigen Syndikat, das Online-Banken ausraubt, lange bevor Ransomware zu einer globalen Plage wurde.

Zu den prominentesten Opfern gehörten der britische National Health Service und das Universitätsklinikum Düsseldorf, deren Computer 2020 mit DoppelPaymer infiziert wurden. Eine Frau, die dringend behandelt werden musste, starb, nachdem sie zur Behandlung in eine andere Stadt gebracht werden musste.

Ransomware ist die störendste Cyberkriminalität der Welt. Hauptsächlich in Russland ansässige Banden brechen in Netzwerke ein und stehlen vertrauliche Informationen, bevor sie Malware aktivieren, die Daten verschlüsselt. Die Kriminellen verlangen eine Zahlung im Austausch für Entschlüsselungsschlüssel und das Versprechen, die gestohlenen Daten nicht online zu stellen.

In einer Warnung aus dem Jahr 2020 sagte das FBI, DoppelPaymer sei seit Ende 2019 eingesetzt worden, um kritische Branchen auf der ganzen Welt anzugreifen, darunter das Gesundheitswesen, Rettungsdienste und das Bildungswesen, wobei routinemäßig sechs- und siebenstellige Lösegelder gezahlt wurden.

Ein Analyst des Cybersicherheitsunternehmens Emsisoft, Brett Callow, sagte, DoppelPaymer habe Daten veröffentlicht, die von rund 200 Unternehmen gestohlen wurden, darunter im US-Verteidigungssektor, die sich der Zahlung widersetzten. Und angesichts der angeblichen Verbindung von DoppelPaymer über Evil Corp zum FSB – dem Nachfolger der russischen Spionagebehörde KGB – „könnte die Festnahme den Strafverfolgungsbehörden außergewöhnlich wertvolle Informationen liefern“, sagte er.

Laut Dirk Kunze, Leiter der Abteilung Cyberkriminalität der Landespolizei Nordrhein-Westfalen, seien weltweit mindestens 601 Opfer identifiziert worden, davon 37 in Deutschland. Laut Europol haben Opfer in den Vereinigten Staaten zwischen Mai 2019 und März 2021 mindestens 40 Millionen Euro (42,5 Millionen US-Dollar) an die Bande gezahlt, um wichtige Daten freizugeben, die mit der Malware elektronisch gesperrt wurden.

Die Gruppe habe sich auf „Großwildjagd“ spezialisiert, sagte Kunze, und habe eine professionelle Rekrutierungskampagne durchgeführt, neue Mitglieder mit dem Versprechen bezahlter Freizeit angelockt und Kandidaten gebeten, Referenzen für frühere Cyberkriminalität vorzulegen.

Er sagte, die Polizei habe am 28. Februar gleichzeitig Razzien in Deutschland und der Ukraine durchgeführt, Beweise beschlagnahmt und mehrere Verdächtige festgenommen.

Drei weitere Verdächtige konnten nicht festgenommen werden, weil sie außerhalb der Reichweite der europäischen Strafverfolgungsbehörden lagen, sagte Kunze.

Die deutsche Polizei identifizierte die Flüchtlinge als die russischen Staatsbürger Igor Turashev (41) und Irina Zemlyanikina (36) sowie Igor Garshin (31), der in Russland geboren wurde, dessen Nationalität jedoch nicht sofort bekannt war.

Turashev wird seit Ende 2019 von US-Behörden im Zusammenhang mit Cyberangriffen gesucht, die mit einem Vorgänger von DoppelPaymer, bekannt als BitPaymer, durchgeführt wurden, der mit Evil Corp. Die US-Regierung hat 2019 eine Belohnung von 5 Millionen US-Dollar für Informationen ausgesetzt, die zur Festnahme ihres mutmaßlichen Anführers Maxim Yakubets führen.

——

Frank Bajak in Boston hat zu diesem Bericht beigetragen.