Ransomware-Angriff: CD PROJECT RED
Vollständige Quellcodes mehrerer Videospiele bei Ransomware-Angriff gestohlen und anschließend mitsamt Beschäftigtendaten geleakt.

Das polnische Videospielunternehmen CD PROJECT RED, u.a. Entwickler des in jüngster Vergangenheit vielgelobten Rollenspiels Cyberpunk 2077, ist Opfer eines Ransomware-Angriffs geworden, bei dem auch Daten gestohlen wurden. Wie eine Recherche des Branchenportals BleepingComputer ergeben hatte, wurde der Angriff durch die bis dato wenig bekannte Hacker-Gruppe HelloKitty verübt.

Brisant ist dieser Vorfall auch deshalb, weil die Angreifer neben internen Dokumenten des Unternehmens (aus der Buchhaltung, der Verwaltung und den Rechts- HR- und IR-Abteilungen) auch die vollständigen Quellcodes der Spiele Cyberpunk 2077, the Witcher 3 (in der regulären und in einer unveröffentlichten Version), Thronebreaker und Gwent abgegriffen haben. Diese wurden von HelloKitty im Anschluss an den Ransomware-Angriff im Rahmen einer Auktion auf dem Hacker-Forum Exploit.in zum Verkauf angeboten. Der Startpreis lag bei 1 Mio. USD, die Gebote konnten in Stufen von 500 Tsd. USD abgegeben werden und es bestand die Möglichkeit eines Sofortkaufs für 7 Mio. USD. Um die Authentizität der gehandelten Daten zu unterstreichen, hatten die Hacker den Quellcode von Gwent dort vor Beginn der Auktion geleakt. Laut dem Sicherheitsunternehmen KELA wurde der Datensatz bereits verkauft, nachdem den Angreifern außerhalb der Auktion ein für sie zufriedenstellendes Angebot vorgelegt wurde.

In einem von CD PROJECT RED veröffentlichten Erpresserbrief forderten die HelloKitty-Hacker, dass sich das Studio binnen 48 Stunden zwecks einer Lösegeldzahlung mit ihnen in Verbindung setzt. Von der augenscheinlichen Schwere des Diebstahls unberührt teilte das Entwicklerstudio in einer Stellungnahme mit, dass es weder Lösegeldforderungen der Angreifer nachkommen noch in Verhandlungen zur Löschung der gestohlenen Daten eintreten werde. Stattdessen wurde der Vorfall der polnischen Strafverfolgungsbehörde sowie der Datenschatzbehörde gemeldet und wird nun in Zusammenarbeit mit diesen sowie mit IT-Forensikern untersucht. Wie genau die Angreifer sich Zugriff zu den Systemen des Entwicklers verschaffen konnten, ist noch nicht geklärt. Hinweise darauf, dass auch Nutzerdaten kompromittiert worden sein könnten, liegen derzeit allerdings nicht vor.

Unmittelbar nach dem Angriff sind die Netzwerke des Unternehmens gesichert worden. An der Wiederherstellung verschlüsselter Systeme wird gearbeitet.

Update vom 10.06.2021:

In einem Sicherheitsupdate vom 10. Juni 2020 teilte CD PROJECT RED mit, dass Teile der beim Ransomware-Angriff erbeuteten Daten online zirkulieren. Um welche Daten es sich dabei genau handelt, sei dabei noch nicht eindeutig geklärt. Es wird jedoch vermutet, dass sich, neben Spieledaten, die Daten aktueller und ehemaliger Beschäftigter und Dienstleister darunter befinden. CD PROJECT RED konnte ebenso nicht ausschließen, dass die Daten durch die Angreifer manipuliert wurden.

Nachtrag vom 22.04.2024:

HelloKitty ist nun unter dem Namen HelloGookie wieder aktiv. Die Gruppierung hat die Beute aus ihrem Angriff auf CDPR auf ihrer neuen Webseite veröffentlicht. Ein Teil der Dateien ist frei zugänglich, ein anderer ist jedoch passwortverschlüsselt. Um diese 7zip-Dateien freizugeben, fordern HelloGookie 10.000 USD pro Passwort.