Neue Forschung von Mandiant und GTIG: Wie Sie sich gegen UNC3944 / Scattered Spider verteidigen

(Auszug aus der Pressemitteilung)

Mehrere namhafte britische Händler sind zuletzt Opfer von Ransomware-Angriffen geworden. Mandiant und die Google Threat Intelligence Group (GTIG) haben daraufhin aktualisierte Anleitungen und Empfehlungen veröffentlicht, wie sich Unternehmen proaktiv gegen die Bedrohung durch die Hackergruppe UNC3944 (auch bekannt als Scattered Spider) schützen können.

Bitte beachten Sie, dass weder GTIG noch Mandiant die jüngsten Ransomware-Vorfälle bestätigt beziehungsweise der Gruppe UNC3944 oder DragonForce zugeschrieben haben.

Die erneute Aktivität von UNC3944 insgesamt, verbunden mit der steigenden Zahl von Einzelhandelsopfern, deren Informationen auf Datenleckseiten (DLS) veröffentlicht werden – ein Anstieg auf 11 Prozent im Jahr 2025 gegenüber 8,5 Prozent im Jahr 2024 und 6 Prozent in den Vorjahren – unterstreicht die Aktualität und Wichtigkeit dieser Empfehlungen.

John Hultquist, Chefanalyst der Google Threat Intelligence Group, erklärt, warum die Attribution derzeit eine besondere Herausforderung darstellt: „Die als Scattered Spider bekannte Gruppe ist eher amorph. Akteure kommen und gehen und die Verbindungen sind nicht sehr fest. Das kann die Zuordnung erschweren und macht es gegebenenfalls komplizierter, ihren Aktivitäten Einhalt zu gebieten. In der Vergangenheit haben sich diese Akteure phasenweise auf verschiedene Wirtschaftszweige gestürzt, und den sich abzeichnenden Trend im britischen Einzelhandel sollte niemand ignorieren. Die Branche hat nun die Chance, proaktive Maßnahmen zu ergreifen – insbesondere gegen die bevorzugte Taktik dieser Akteure, wie beispielsweise Social Engineering.“

UNC3944 global targeting map

Charles Carmakal, CTO von Mandiant Consulting, sagt über die erneute Aktivität von UNC3944: „UNC3944, auch bekannt als Scattered Spider, ist allgegenwärtig und bekannt als einer der aggressivsten Bedrohungsakteure, der disruptive Angriffe durchführt und dadurch Organisationen in ganz Europa und den Vereinigten Staaten stört. Was UNC3944 besonders effektiv macht, ist die fließende Struktur der Gruppe und die Zusammenarbeit mit mehreren bestehenden Ransomware- und Erpressergruppen. Mandiant Consulting hat nach Verhaftungen von mutmaßlichen UNC3944-Mitgliedern einen deutlichen Rückgang der Aktivitäten beobachtet, aber Unternehmen müssen sich klar machen, dass UNC3944 wieder aktiv ist und diese Bedrohung ernsthafte Aufmerksamkeit erfordert.“