Check Point Software Technologies GmbH
Scattered Spider: Bedrohung für Unternehmen und Luftfahrt.
Nach Attacken auf den britischen Einzelhandel im Mai, weiten die mit der Ransomware-Gruppe DragonForce in Verbindung stehenden Hacker von Scattered Spider ihre Operationen aus.
Check Point Research (CPR), die IT-Forensiker von Check Point Software Technologies, warnt vor einer wachsenden Bedrohung durch die berüchtigte Hacker-Gruppe Scattered Spider. Die Sicherheitsforscher berichteten zuletzt im Mai 2025 davon, wie die mutmaßlich mit dem DragonForce-Ransomware-Kartell in Verbindung stehenden Gruppe den britischen Einzelhandel angriff. Nun hat CPR über 500 Phishing-Domains identifiziert, die gezielt auf Unternehmen und insbesondere die Luftfahrtbranche zielen.
In den vergangenen Wochen wurden mehrere Vorfälle publik, die mit der Gruppe in Verbindung gebracht werden – darunter der massive Datenverlust bei Qantas im Juli 2025, bei dem Daten von rund sechs Millionen Kunden kompromittiert wurden. Auch Angriffe auf Hawaiian Airlines und WestJet unterstreichen die Dringlichkeit, Sicherheitslücken zu schließen, insbesondere bei Drittanbietern im Luftfahrtsektor.
Neue Indikatoren: Typische Phishing-Domains
Check Point Research konnte ein konsistentes Muster in der Infrastruktur der Angreifer identifizieren: Domains, die Unternehmensportale täuschend echt nachahmen, um Mitarbeiter zur Herausgabe von Zugangsdaten zu bewegen. Typische Namensmuster sind:
- victimname-sso.com
- victimname-servicedesk.com
- victimname-okta.com
Beispiele für entdeckte Domains:
- chipotle-sso[.]com
- gemini-servicedesk[.]com
- hubspot-okta[.]com
Diese Domains richten sich nicht nur gegen Technologie-, Einzelhandels- und Luftfahrtunternehmen, sondern auch gegen die Fertigung, Medizintechnik, Finanzdienstleistungen und Unternehmensplattformen – ein Hinweis auf die opportunistische Natur der Gruppe.
Wer ist Scattered Spider?
Die Gruppe ist seit mindestens 2022 aktiv und besteht aus jungen Akteuren aus den USA und Großbritannien. Ihre Taktiken umfassen:
- Aggressive Social-Engineering-Methoden (u.a. Ausnutzung der Multi-Faktor-Authentifizierung-Ermüdung der Angestellten, Vishing, SIM-Swapping).
- Einsatz von Remote-Access-Tools wie TeamViewer, Ngrok und Tactical RMM.
- Nutzung von Malware wie WarZone RAT und Raccoon Stealer.
- Ransomware-Angriffe mit BlackCat/ALPHV.
Wie man sich schützt:
- Um sich der Angriffe und Methoden von Scattered Spider effektiv zu erwehren, empfiehlt Check Point:
- Monitoring verdächtiger Domains und Blockieren passender Muster.
- Mitarbeiterschulungen zu MFA-Missbrauch und Vishing.
- Adaptive Authentifizierung mit Anomalie-Erkennung.
- Robuste Endpunkt-Sicherheitsmaßnahmen.
- Für Luftfahrtunternehmen: striktes Vendor-Risk-Management und branchenspezifische Incident-Response-Playbooks.
