Dit weten we over Hive, de groep die mogelijk MediaMarkt-systemen platlegde

MediaMarkt werd deze week slachtoffer van een hackaanval. Volgens onderzoek van RTL Nieuws is de aanval uitgevoerd door Hive, een hackgroep die vaker toeslaat bij grote bedrijven en zelfs bij ziekenhuizen. Ook in Nederland sloeg de bende al eerder toe.

Hive is een vrij nieuwe hackgroep. Na een hack op softwarebedrijf Altus afgelopen zomer kwam de groep voor het eerst in beeld. De hackers lekten gegevens van het bedrijf, omdat er geen losgeld werd betaald.

Sindsdien hebben opsporingsdiensten Hive in het vizier. De hackgroep valt bedrijven aan en gijzelt daarbij bestanden, waardoor hun computersystemen onbruikbaar worden. De groep staat erom bekend grondig te werk te gaan en ook back-ups van computers van slachtoffers te verwijderen, zodat die niet zomaar hersteld kunnen worden.

Wie er achter de groep zit, is niet bekend. Ook is niet duidelijk vanuit welk land of landen de groep opereert.

Niet alle hackgroepen vallen alle bedrijven zomaar aan. Sommige groepen richten zich expliciet niet op bedrijven in de vitale infrastructuur, zoals elektriciteitsbedrijven, ziekenhuizen of onderwijsinstellingen.

Hive maakt dit onderscheid niet en voerde aanvallen op dat soort doelwitten met succes uit. In augustus gijzelde Hive bijvoorbeeld systemen van ziekenhuizen in de VS. Als gevolg daarvan konden chirurgische ingrepen en radiologische onderzoeken niet doorgaan.

Ook bedrijf in Zwolle gehackt door Hive
Ook in Nederland voerde de groep aanvallen uit. Uit onderzoek van NU.nl blijkt dat computers van een bedrijf in Zwolle in oktober gehackt waren door de groep. Bij het bedrijf bleef de schade naar eigen zeggen beperkt, omdat het goed beveiligde back-ups had.

Zodra de computersystem zijn platgelegd, eist Hive losgeld van zijn slachtoffers. Zo zou de groep nu 50 miljoen dollar (43 miljoen euro) aan losgeld vragen van MediaMarkt. Als het bedrijf weigert, blijven computers versleuteld en worden gestolen bestanden mogelijk online gezet.

Binnendringen via phishingmails
Volgens de FBI, die in augustus waarschuwde voor de groep, sturen de hackers phishingmails naar bedrijven, waarbij geïnfecteerde bestanden worden meegestuurd. In de mails doet Hive zich vaak voor als een ander bedrijf. Als een medewerker in de mail van Hive tuint, kan de groep toegang krijgen tot het netwerk van het bedrijf.

Ook probeert de groep toegang te krijgen via een systeem waarmee computersystemen op afstand kunnen worden bestuurd, het zogenoemde Remote Desktop Protocol (RDP).

Hackers met eigen helpdesk
Hive is een professionele bende en heeft websites gebouwd om met slachtoffers te communiceren. Deze sites staan op het darkweb, het afgesloten gedeelte van het internet.

Heeft de hackgroep een bedrijf aangevallen, dan laat het bestanden achter op de versleutelde computers. In deze bestanden staan inloggegevens waarmee slachtoffers met de hackers in contact kunnen komen op hun website.

Via een speciaal gedeelte van die site wordt vervolgens onderhandeld over losgeld. Ook krijgen slachtoffers er vaak bewijs te zien dat Hive daadwerkelijk achter de aanval zit en dat de hackgroep in staat is de versleutelde computers vrij te geven. Via de site moeten getroffen bedrijven betalen met bitcoins.