Darknet Diaries Deutsch: Das Auto, das es nie gab - Teil 1

Dies ist der erste Teil von „Das Auto, das es nie gab“. Der zweite Teil wird in einer Woche veröffentlicht. Im englischen Original von Jack Rhysider trägt diese Episode den Namen „Bayrob“.

Die deutsche Produktion verantworten Isabel Grünewald, Judith Hohmann und Marko Pauli von heise online. Der Podcast erscheint wöchentlich auf allen gängigen Podcast-Plattformen und kann hier abonniert werden.

JACK: Was für ein großartiges Format das über die Jahre geworden ist. Ich habe so viel Spaß dabei, und ich glaube, diese Episode war für mich ein Abenteuer, das ich nie vergessen werde. Es ist eine große und wilde Geschichte, also lasst uns keine Zeit verschwenden. Das hier ist Liam.

LIAM: Ja, ich bin Liam O'Murchu. Ich arbeite seit 2004 bei Symantec, bin dort in der Security-Response-Abteilung tätig und analysiere Malware.

JACK: Du kommst mir bekannt vor. Warst du im Fernsehen?

LIAM: Ja, das war ich. Ich war Teil des Teams bei Symantec, das Stuxnet analysiert hat, den Virus, der die Technik in Uran-Anreicherungsanlagen in Natanz im Iran infiziert hat.

JACK: Ja, du warst einer der Ersten, die erklärt haben, was da entdeckt wurde.

LIAM: Ja, genau, wir waren das Team, das herausgefunden hat, was Stuxnet überhaupt gemacht hat, worin die Schadfunktion bestand, wie es funktionierte, wie es sich verbreitet hatte und gegen wen es gerichtet war. Ja, und deshalb war ich in einem Dokumentarfilm zu sehen, der 2016 sogar für einen Oscar nominiert war: „Zero Days“ vom Regisseur Alex Gibney. Da ist im Grunde zu sehen, was ich in meinem Job so alles mache. Dann hat Kim Zetter auch ein Buch darüber geschrieben, und darin die ganze Geschichte und unsere Arbeit vorgestellt.

JACK: Ja, Stuxnet war ein Riesending, das wirklich gezeigt hat, wie weit die NSA geht, um Malware zu entwickeln. Nach Stuxnet hat Liam weitere Angriffe untersucht. Ich glaube, am meisten Spaß macht es ihm, neuartige Bedrohungen zu analysieren – also solche, die die Welt noch nie gesehen oder verstanden hat. Eines Tages landete eine neue Art Schadsoftware auf Liams Schreibtisch.

LIAM: Ja, also, wenn auf den Rechnern unserer Kunden bei Symantec Malware landet, schicken sie die dann uns zur Analyse. Und ich bekam da eine Datei, die sich ganz anders verhielt als andere Malware. Das war maßgeschneidert, nichts von der Stange.

JACK: Bei der Analyse neuer Schadsoftware gibt's viel zu tun, aber zuerst braucht man ein vollständiges Muster davon, und das hatte Liam noch nicht. Er wollte wirklich wissen, was diese Malware macht und was sie mit dem Opfer anstellt, was das Ziel ist, wer die Leute sind, die sie erstellt haben, und wie sie sich verbreitet.

LIAM: Mir war klar, dass sie da versuchten, eBay-Kunden zu betrügen. Ich wollte dem Ganzen einen Namen geben, und da ich „eBay“ nicht als Markennamen verwenden durfte, entschied ich mich für „Bayrob“, weil sie eben die Kunden von eBay beklauten. Die Malware funktionierte so: Wenn sie sich auf einem Computer befand, und man dann versucht hat, eine Verbindung zur eBay-Website herzustellen, fing sie diese Verbindung ab und fügte falsche Informationen in die Browsersitzung ein. Es sah dann so aus, als kämen diese falschen Informationen tatsächlich von der legitimen eBay-Adresse. Es fiel einem nicht auf, dass etwas nicht stimmte. Das wurde dann genutzt, um Dinge zu verkaufen, die es auf eBay gar nicht gab.

JACK: Er schrieb einen kurzen Bericht und veröffentlichte, was er über diese Malware wusste, aber er hatte noch nicht alle Puzzleteile. Er wollte mehr darüber wissen. Die Probe, die er hatte, reichte nicht ganz aus, um einen Rechner vollständig zu infizieren und diese Malware zu beobachten. Es schien infiziert zu sein, aber auf seinem Rechner passierte nie etwas. Also ging er auf die Jagd, um mehr zu erfahren, und musste wie ein Opfer denken. Wie gerät man an sowas? Wie wird die Schadsoftware ausgeliefert? Wie wird man infiziert? Er fand heraus, welche Fallen es gab, in die Leute tappten, um infiziert zu werden – speziell durch Phishing-E-Mails und Posts bei Craigslist, dem amerikanischen Gegenstück zu Kleinanzeigen.

LIAM: Ich suchte weiter nach dem fehlenden Puzzleteil. Dafür durchforstete ich immer wieder unsere Telemetriedaten und schaute auch an den Stellen nach, an denen das Ganze vermutlich verbreitet wurde – zum Beispiel auf Craigslist und in E-Mails. Ich hoffte, irgendwo ein vollständiges Paket zu finden, mit dem ich den Betrug von Anfang bis Ende analysieren konnte: Was genau machten die Angreifer? Wie verdienten sie Geld damit und wohin floss es? Ich wollte das Gesamtbild verstehen.

Wie sich herausstellte, konnte ich den Fall auch deshalb nicht aufklären, weil die Angreifer ihren Betrug per Geofencing auf die USA beschränkt hatten – und dort sogar nur auf bestimmte Regionen. Ich saß damals in Irland. Wenn ich versuchte, die betrügerischen Auktionen aufzurufen, bekam ich die entsprechenden Inhalte also nicht zu sehen, weil ich mich nicht in den USA befand.

JACK: Das finde ich schon beeindruckend, dass diese Malware nur für Amerikanerinnen und Amerikaner funktionierte. Wer anderswo auf der Welt infiziert war, war quasi immun. Verrückt. Da er also nicht von diesen eBay-Auktionen betrogen werden konnte, versuchte er, jemanden zu finden, der davon betrogen worden war. Und er fand tatsächlich jemanden, die Tausende von Dollar verloren hatte, nachdem sie versucht hatte, ein Auto auf eBay zu kaufen.

LIAM: Ich hab herausgefunden, wer die Betroffene war, und nahm Kontakt zu ihr auf. Nachdem sie einmal betrogen worden war, hatte sie eine weitere, ganz ähnliche Auktion entdeckt und sich dort angemeldet. Dabei hatte sie das komplette Schadsoftware-Paket erhalten. Ich sprach mit ihr, und sie war bereit, es mir zur Verfügung zu stellen.

JACK: Er konnte die Schadsoftware von ihrem Rechner bekommen und analysieren, und er entdeckte, wie sie funktioniert und was sie macht, wie die Infektion passiert und wie die Kriminellen sie nutzen, um Geld zu stehlen. Aber er wollte sie noch in Aktion sehen. Also schmiedete er einen Plan.

LIAM: Ich gab mich als sie aus und ging online, um das Auto zu kaufen. Die Angreifer hatten die eBay-Seite so manipuliert, dass bei der gefälschten Auktion auch ein Chatfenster erschien. Wer dort eine Nachricht schrieb, glaubte, mit dem eBay-Kundendienst zu sprechen. Tatsächlich saßen am anderen Ende die Angreifer. Ich spielte den Kauf durch und unterhielt mich dabei so ausführlich wie möglich mit ihnen. Ich wollte herausfinden, wie gut sie Englisch sprachen. Außerdem schrieb ich ihnen zu verschiedenen Tageszeiten, um ein Gefühl dafür zu bekommen, wann sie erreichbar waren – und wann nicht. Das alles zeichnete ich auf. Am Ende führte ich den vermeintlichen Autokauf so weit durch, dass sie mir mitteilten, an wen ich das Geld überweisen sollte: an einen Finanzagenten, der das Geld für sie entgegennehmen sollte. Dort brach ich ab. Geld habe ich also nicht überwiesen.

Der Betrug im Praxistest

Zu diesem Zeitpunkt hatte ich also Informationen über ein Opfer, wusste genau, wie die Masche funktionierte und wie viel Geld die Angreifer damit verdienten. Vor allem aber hatte ich ein Video, das den gesamten Ablauf zeigte – von Anfang bis Ende. Ich veröffentlichte einen Blogbeitrag dazu: So funktioniert der Betrug, so sieht er aus und so kann man sich schützen. Dazu stellte ich die Aufnahmen online, in denen ich den Autokauf durchspielte und mit den Angreifern chattete.

JACK: Liams Blogpost kam gut an. Die Leute mochten ihn, lasen und teilten ihn. Nachdem er ihn gepostet hatte, wandte sich Liam anderen Dingen zu. Er hatte das Gefühl, er sei dem ziemlich auf den Grund gegangen. Er hatte Signaturen erstellt, anhand derer man die Malware erkennt, und herausgefunden, welche Command-and-Control-Server sie benutzt. Damit konnten Unternehmen Schutzmaßnahmen einleiten und diese Server blockieren. Damit hätte die Sache erledigt sein können. Stattdessen begann sie sich danach zu verändern.

LIAM: Sie benannten ihre Command-and-Control-Server auf verschiedene Arten. Sie wählten da zufällige Namen für die URLs auf den Servern, aber dann fingen sie an, meinen Namen da reinzupacken. Es gab dann also Domain-Namen wie gayassholeliam.com, tinycockliam.com, liamthemule.com, thankyouliam.com. Ja, verschiedene Variationen davon über die Jahre. Dann konnten sie auch, weil es einen kleinen verschlüsselten Bereich darunter gab, eine Nachricht in der Malware hinterlassen, von der sie wussten, dass nur ich sie sehen würde oder jemand, der die Malware analysiert, und da hinterließen sie Nachrichten wie – „Symantec macht Gruppen-Masturbation“ war eine davon. Also, über die Jahre hinterließen sie diese Nachrichten für mich. Ich wollte natürlich verstehen, was da vor sich ging.

JACK: Meine Lieblingsnachricht, die sie für ihn in der Malware hinterließen, war „Symantec-Team ist ein großer Hühnerstall Huhn schlau“. Hühnerstall Huhn schlau? Was soll das heißen? All diese Verspottung und Provokationen brachten Liam dazu, sich diese Bayrob-Malware nochmal genauer anzuschauen. Es war sein Name in der Malware, der ihn wieder dorthin zog. Er besorgte sich einen Computer, richtete ihn im Labor ein, infizierte ihn mit einer frischen Kopie der Schadsoftware und analysierte sie weiter. Weil er bei Symantec arbeitete, hatte er Zugang zu ziemlich mächtigen Malware-Analyse-Tools. Also ließ er das durchlaufen.

LIAM: Ich konnte erkennen, wo sie sich einloggten, wo sie ihre Server betrieben und wie sie ihren Datenverkehr leiteten; auch wie wir Teil dieses Routings werden konnten und einige ihrer Nachrichten einsehen und auch ihre Kommunikation infiltrieren konnten. Und das war extrem wichtig, um den gesamten Angriff zu verstehen.

JACK: Die Art, wie diese Malware rund um den Globus geroutet wird, fasziniert mich.

LIAM: Um ihre Identität zu schützen, leiteten sie ihren Datenverkehr über infizierte Rechner um, sodass es für jemanden wie mich oder auch die Strafverfolgungsbehörden sehr schwierig war, sie bis zu ihrem ursprünglichen Standort zurückzuverfolgen. Sie sprangen über mehrere infizierte Rechner und das in verschiedenen Ländern. Wenn man also ihre erste IP-Adresse sah und diese zurückverfolgte, stieß man auf ein Opfer, aber selbst wenn man diesen Rechner überwachte, stieß man auf ein weiteres Opfer in einem anderen Land. Sehr, sehr schwierig, so den Weg bis zu ihrem Heimrechner zurückzuverfolgen. Eine wirklich smarte Methode, die Spuren zu verwischen.

JACK: Clever, oder? Die Angreifer würden sich also nie direkt mit ihrem Command-and-Control-Server oder ihren Opfern verbinden. Sie würden nicht mal direkt miteinander sprechen. Stattdessen würden sie immer mindestens drei Sprünge durch ihre infizierten Opfer nutzen, um mit irgendetwas zu kommunizieren, sogar zum Googeln. Wenn sie sich mit einem Opfer verbinden wollten, gingen sie drei Sprünge zu ihrem Command-and-Control-Server und dann drei Sprünge zum Opfer. Das machte es unglaublich schwierig nachzuvollziehen, in welchem Land die Bayrob-Gang überhaupt war. Zu der Zeit gab es über 6000 Computer, die von dieser Bayrob-Malware infiziert waren, und jeder von ihnen konnte Teil dieser Proxy-Kette sein. Das brachte Liam auf eine Idee. Wenn sie die infizierten Computer zum Durchverbinden nutzen, bedeutet das dann, dass der infizierte Computer, den Liam in seinem Labor hat, eine Wahrscheinlichkeit von 1 zu 6000 hat, eine Verbindung von diesen Angreifern zu sehen? Vielleicht. Also brachte er diesen infizierten Computer wieder online, ließ Netzwerkmitschnitte mitlaufen und wartete lange, über einen Monat lang, ohne etwas zu sehen.

LIAM: Eigentlich fing alles an meinem Schreibtisch im Büro an. Ich hatte meinen kleinen Testrechner unter dem Schreibtisch stehen, habe ihn dort eingerichtet und die Malware ausgeführt – und war dann sehr enttäuscht, als ich merkte, dass sie sich nie mit meinem Rechner verbunden haben. Da wurde mir langsam klar: Ach, es gibt einen Algorithmus, mit dem sie entscheiden, mit welchem Rechner sie sich verbinden.

JACK: Ach was? Nachdem Liam seinen infizierten Rechner einen Monat lang online hatte und auf Verbindungen von diesen Kriminellen lauschte, bemerkte er, dass sich die Malware nach einem Monat plötzlich veränderte. Mehr Code wurde hinzugefügt, und dieser Code hatte alle Details, wie die Proxy-Kette funktionierte. Also musste ein Rechner zu Beginn dreißig Tage lang infiziert sein, bevor er überhaupt den Proxy-Ketten-Code erhielt. Er analysierte diesen Proxy-Ketten-Code und sah, dass nicht alle infizierten Rechner die gleiche Gewichtung hatten, um von den Hackern als Zwischenstation genutzt zu werden.

LIAM: Da wurde mir dann klar, dass es so war: Je höher die Bandbreite, desto größer die Chance, dass man genutzt wurde. Je weiter entfernt der Standort, desto größer die Chance, dass man genutzt wurde. Also wanderte das Ganze von unter meinem Schreibtisch auf einen Server an der Westküste der USA und dann weiter auf einen Server an der Ostküste der USA.

JACK: Diesmal mit einem stärkeren Server mit höherer Bandbreite, und das gab ihm jetzt eine 1-zu-400-Chance, dass diese Angreifer sich durch seinen Rechner verbinden könnten. Trotz allem, nachdem er dasaß und auf irgendwelchen Proxy-Traffic lauschte, der durchkam – nichts. Er schaute sich diesen Proxy-Ketten-Code nochmal an und erfuhr, dass sie, bevor sie einen Computer in der Proxy-Kette nutzen, einen Screenshot von diesem Computer machen und sich den anschauen. Sie wollten sehen, ob es wie der Computer einer normalen Person aussah. Wenn es wie Liams Computer als Sicherheitsforscher oder wie ein Polizeicomputer aussah, könnten diese etwas Verdächtiges bemerken und sie beschlossen, sich nicht mit diesem Rechner zu verbinden. Die Hacker überprüften jeden einzelnen Computer, bevor sie ihn in dieser Proxy-Kette nutzten. Heiliger Strohsack. Liam musste also sicherstellen, dass sein Computer im Labor wie der Heimcomputer von jemandem aussah.

Ein infizierter Rechner als Köder

Aber darüber hinaus entdeckte Liam auch, dass, wenn der infizierte Computer in Rumänien war, er in der Proxy-Kette Priorität bekam. Im Grunde hatte er eine höhere Chance, als ihre erste Station gewählt zu werden, was auch ein Hinweis darauf sein könnte, woher diese Typen kommen. Also mietete er einen Computer in Rumänien, infizierte ihn mit dieser Malware, stattete ihn mit einer schnellen Internetverbindung aus, ließ ihn wie den Computer eines normalen Nutzers aussehen und wartete dreißig Tage, bis der Proxy-Ketten-Code ankam, und wartete dann noch länger. Diesmal dachte er, er hätte eine 1-zu-40-Chance, dass sie sich mit seinem Rechner verbinden.

LIAM: Irgendwann verbanden sie sich mit meinem Rechner. Er war damit die erste Station in der Kette. So bekam ich die IP-Adresse ihres Heimanschlusses zu sehen – oder zumindest die Adresse, die ich dafür hielt. Diese Adressen führten nach Rumänien, nach Bukarest und in eine Stadt namens Brașov. Hin und wieder unterlief ihnen ein Fehler, und dann wurde sichtbar, von wo aus sie sich tatsächlich verbanden. Die Proxy-Rechner verrieten mir aber nicht nur etwas über ihren möglichen Standort. Ich konnte auch sehen, was sie über diese Verbindungen übertrugen – und das war eine wahre Fundgrube. Sie fühlten sich offenbar geschützt und sicher. Ich sah dann zum Beispiel, wie sie ihre Betrugsaktionen vorbereiteten: Sie übertrugen die Dateien, die sie dafür brauchten, suchten bei Google nach passenden Bildern und Texten und richteten E-Mail-Kampagnen ein.

JACK: Wow, was für einen erstaunlichen Einblick er in diese Angreifer hatte. Die Typen nutzten diese Proxy-Netzwerke für alles. Jedes Mal, wenn sie E-Mails checkten oder Geld bewegten, oder ja, sogar googelten, routeten sie unwissentlich ihren Traffic durch Liams Computer, oder zumindest manchmal, und er zeichnete alles auf. Aber nur weil Liam im Verbindungspfad war und diese Daten erfasste, waren die Daten nicht lesbar. Das liegt daran, dass diese Typen alles verschlüsselten. Die gesamte Kommunikation zum Command-and-Control-Server war verschlüsselt.

Alle Kommunikation zwischen den verschiedenen Angreifern war verschlüsselt. Er konnte erkennen, dass diese Typen über Jabber sprachen, konnte aber keine der Nachrichten sehen, da sie OTR nutzten, Off The Record, was End-to-End-Verschlüsselung auf alle Jabber-Chats bereitstellt. Die meiste Zeit hatte Liam also nichts als verschlüsselten Kauderwelsch, aber ab und zu sah er einen kleinen Funken, wo etwas nicht ganz vollständig verschlüsselt war, oder Metadaten über eine Verbindung verrieten ihm, was sie gerade machten. Zu diesem Zeitpunkt hatte Liam diese Malware schon jahrelang untersucht und verfolgt und hatte ein viel tieferes Verständnis davon, wer dahintersteckt, verglichen mit seinem ersten Blogpost.

LIAM: Ich habe die Malware analysiert und wusste dadurch, wohin sie weltweit Verbindungen herstellten. Ich dachte mir, okay, ich kann dagegen nichts tun, aber ich weiß, dass die Strafverfolgungsbehörden einschreiten könnten, dass sie also die Server, die Computer und die Domains beschlagnahmen und tatsächlich Maßnahmen dagegen ergreifen könnten. Wir suchten deshalb nach einer Strafverfolgungsbehörde, mit der wir in diesem Fall zusammenarbeiten konnten. Inzwischen hatten wir ausführlich dokumentiert, was die Angreifer taten. So kam schließlich der Kontakt zum FBI zustande.

JACK: Aber wie sich herausstellte, war das FBI schon dran.

STACY: Hi, ich bin Stacy Whittaker. Inzwischen bin ich eine pensionierte FBI-Agentin. 2007 war ich aber noch recht frisch beim FBI. Ich war erst seit einem Jahr dabei und lernte noch meinen Job kennen. Auf jeden Fall wurde ich sehr früh von einem der ersten Opfer der Bayrob-Gruppe kontaktiert. Es hatte sich bei uns gemeldet. Ich arbeitete zu der Zeit im Büro in Cleveland. Diese Person meldete sich also dort beim FBI-Büro, um zu melden, dass sie auf eBay betrogen worden war. Ich hatte einfach ihren Anruf entgegengenommen, als sie im Büro anrief, und sprach mit ihr darüber, was ihr passiert war. Sie erklärte mir, dass sie versucht hatte, so ein Auto auf eBay zu kaufen und dass sie angeblich die Auktion gewonnen hatte. Sie hatte für das Fahrzeug bezahlt, ungefähr 8600 Dollar, und dann bekam sie das Auto nie. Es sollte zu ihr gebracht werden und es kam nie an.

Beim ersten Anruf war das so ziemlich alles, was sie wusste. Ich bat sie also, wie wir das beim FBI normalerweise tun, diese Informationen an IC3 zu melden. Ic3.gov ist eine Website, die wir nutzen, um Informationen von Opfern all der verschiedenen Arten von Verbrechen zu sammeln, die hauptsächlich mit dem Internet zu tun haben. Das tat sie also. Sie ging auf IC3 und meldete es. Zu der Zeit dachte ich, das war das Ende dieses Gesprächs, denn natürlich würde das FBI normalerweise wegen 8600 Dollar keinen Fall eröffnen. Aber sie rief mich etwa zwei oder drei Tage später zurück und erzählte mir, dass sie selbst herausgefunden hatte, dass ihr Computer mit einem Virus infiziert war und das mit diesem eBay-Betrug zusammenhing.

Es brauchte ein bisschen Überzeugungsarbeit, bis ich geglaubt habe, dass sie tatsächlich recht hatte. Sie schickte mir Liams Bericht über Bayrob. Und das war das erste Mal, dass ich seinen Bericht über diesen Virus las. Und daraufhin entschied ich mich, sie persönlich zu treffen. Ich nahm einen Computer-Forensiker aus unserem Büro mit, um ihren Computer anzuschauen, damit wir bestätigen konnten, dass sie tatsächlich auf ihrem Computer mit diesem Virus infiziert war, was wir taten. Weil sie also mit Malware infiziert war, konnten wir dann die Ermittlungen einleiten, obwohl es so ein kleiner Geldbetrag war, über den wir sprachen.

JACK: Um 2007 herum kam Liam in Kontakt mit FBI-Special Agent Stacy, um ihr alles zu erzählen, was er herausgefunden hatte. Aber selbst mit all diesen Informationen machte das FBI keine Fortschritte in diesem Fall. In den ersten fünf Jahren, in denen dieser Fall lief, passierte beim FBI sehr wenig.

STACY: Es bewegte sich alles sehr langsam und sehr frustrierend, extrem langsam und frustrierend. Ich würde sagen, dieser Fall ist in vielerlei Hinsicht ein sehr gutes Beispiel für den Wandel beim FBI. Also, am Anfang, 2007, war das eine Zeit, in der wir beim FBI nicht unbedingt Hand in Hand mit der freien Wirtschaft arbeiteten, weißt du? Obwohl ich also 2007 mit Liam sprach, teilten wir zwar ein paar Informationen miteinander, aber dann gingen wir unsere getrennten Wege. Wir sprachen erst 2012 wieder, weil man das zu der Zeit beim FBI eben so gemacht hat. Wir teilten nicht zu viele Informationen mit dem Privatsektor. Wir verschickten Vorladungen, wir stellten Durchsuchungsbefehle aus und wir sammelten Informationen, aber wir arbeiteten nicht unbedingt Hand in Hand wie heute. Auch zu der Zeit bearbeiteten wir nicht unbedingt viele Ermittlungen, die ins Ausland reichten.

Also, nochmal, ich war eine neue Agentin beim FBI, und ich eröffnete dieses Ermittlungsverfahren und konnte ziemlich schnell feststellen, dass das ganze Geld ins Ausland ging. Ich verfolgte den Geldfluss, fand heraus, wo es in verschiedenen Ländern in Europa abgeholt wurde, und als ich das sah und mit den anderen Agenten in meinem Team sprach, war ihre Reaktion im Grunde, oh, du musst diese Akte schließen. Nochmal, das war 2007 und wir hatten einfach nicht so viele Befugnisse und so viele Partnerschaften mit anderen Ländern wie heute. Ich weigerte mich aber, den Fall zu den Akten zu legen und arbeitete weiter daran und sammelte weiter Informationen, obwohl ich sehr eingeschränkt war, bei dem, was ich tun konnte. Wir hatten ein FBI-Büro in Bukarest in Rumänien, und ich schickte also meine Informationen an unser FBI-Büro dort, um zu versuchen – ja, anfangs war es einfach, ihnen Informationen über die Geldkuriere zu schicken, die das Geld abholten. Ich konnte also das Geld verfolgen, das über Western Union geschickt wurde, und anfangs wurde es in Griechenland abgeholt und dann war es in Ungarn und dann war es Rumänien.

Es waren mehrere verschiedene Länder in Europa, wo Geld abgeholt wurde. Ich wusste also am Anfang nicht unbedingt, dass es Rumänien war, aber die meisten dieser Kuriere nutzten rumänische Ausweise, wenn sie das Geld abholten. Fünf Jahre lang konnte ich also größtenteils nur Aussagen der Opfer zusammentragen. Ich erstellte so eine Tabelle mit all diesen verschiedenen Opfern, die ich identifiziert hatte. Ich identifizierte Konten der Geldkuriere oder deren IDs und Geldtransaktionen, und ich sammelte all diese Informationen.

Eine Ermittlerin lässt den Fall nicht fallen

JACK: Auch wenn Stacy neu beim FBI war, war sie ziemlich scharfsinnig, besonders mit Computern, da sie vor dem FBI schon Programmiererin bei der Air Force war. Sie war wirklich fasziniert von diesem Fall, wahrscheinlich mehr als alle anderen zu der Zeit. Aber sie wusste, wenn sie den Fall lösen wollte, würde sie mehr Hilfe brauchen.

STACY: Ich holte schließlich CCIPS dazu, also die Leute, die im US-Justizministerium zu Computer- und Urheberrechtsdelikten ermitteln, um bei den rechtlichen Fragen zu helfen, und dann sprach ich 2012 wieder mit Liam, der uns mit Eoin verband. Zu diesem Zeitpunkt wurde mir klar, dass das eine sehr ausgeklügelte Gruppe ist, mit der wir es zu tun haben. Das zeigt auch all die Arbeit, die Liam bereits geleistet hatte. Da war es offensichtlich, dass ich Unterstützung brauchte, denn obwohl ich im Cyber-Team in Cleveland war, hatte ich keine super-technischen Vorkenntnisse, klar ein bisschen, aber bei Weitem nicht so viel wie Ryan. Ich brauchte also definitiv Hilfe. Also bat ich Ryan, mit mir an diesem Fall zu arbeiten.

RYAN: Ja, also, mein Name ist Ryan Macfarlane. Ich bin Leiter in der Abteilung für IT-Sicherheitsvorfälle bei TrustedSec, aber damals war ich noch Cyber-Agent. Ich kam aus Washington, D.C., wo ich zwei Jahre lang bei unserer Nationalen Gemeinsamen Task Force für Cyberermittlungen tätig war und an regierungsweiten Gegenmaßnahmen gegen China mitgearbeitet hatte. Ich wurde nach Cleveland versetzt, und das Erste, worum ich gebeten wurde, war, gemeinsam mit Stacy an diesem Fall zu arbeiten.

JACK: Stacy fängt also an, Special Agent Ryan über diesen Fall auf den neuesten Stand zu bringen.

RYAN: Ich lande also in Cleveland und beginne, gemeinsam mit Stacy an diesem Fall zu arbeiten. Die ersten sechs Monate bis zu einem Jahr habe ich damit verbracht, die gesamte Infrastruktur aufzuspüren, die diese Täter nutzten. Dafür habe ich mit der US-Staatsanwaltschaft in Cleveland und dem CCIPS zusammengearbeitet, um rechtliche Schritte einzuleiten und umfangreiche technische Ermittlungen gegen die Bayrob-Gruppe durchzuführen.

JACK: Natürlich ist das FBI gut darin, der Spur des Geldes zu folgen. Sie erfuhren, dass diese Kriminellen viele Geldkuriere nutzten. Wenn die Kriminellen also ein Opfer dazu brachten, ihnen Tausende von Dollar zu schicken, wie durch eine eBay-Auktion, schickte das Opfer das Geld nicht direkt an die Kriminellen. Stattdessen stellten die Kriminellen jemand anderen ein, um das Geld einzusammeln, einen Teil davon zu behalten und den Rest an jemand anderen weiterzuleiten. Dann würden sie das Geld wieder an jemand anderen weiterleiten, und schließlich wird es den ganzen Weg zu den Kriminellen geschickt oder in Kryptowährung umgewandelt und dann den Kriminellen gegeben.

Sie kamen an diese Geldkuriere, indem sie Anzeigen auf Facebook oder Craigslist schalteten, die einen seriösen Job bewarben, so wie Heimarbeit. Dann tricksten sie den Geldkurier aus und belogen ihn darüber, warum und wohin das Geld geschickt wurde. Das Seltsame daran: Obwohl der Geldkurier ausgetrickst wird und denkt, dass er eine seriöse Arbeit macht, ist es in Wahrheit illegal, überhaupt Geldkurier zu sein. Diese Leute könnten dafür verhaftet werden. Und nach mehr als fünf Jahren in dieser Untersuchung fing das FBI an, weitere Leute ins Boot zu holen.

BRIAN: Ich bin Brian Levine. Zu der Zeit war ich der Staatsanwalt für Cyberkriminalität in der Computer Crime and Intellectual Property Section in Washington, D.C.

JACK: Das gehört zum Justizministerium.

BRIAN: Genau, das ist eine Abteilung des Justizministeriums. Ich war außerdem der nationale Koordinator aller Staatsanwälte, die auf Cyberkriminalität und Verletzungen geistigen Eigentums spezialisiert sind. Einer von ihnen war Duncan Brown, der als Bundesstaatsanwalt im Northern District of Ohio tätig war und von Ryan und Stacy hinzugezogen wurde, um bei dem Fall zu helfen.

JACK: Stacy und Ryan schauten sich den Fall genauer an. Sie bekamen viele Informationen von Liam bei Symantec, der alles über die Funktionsweise der Proxy-Ketten entdeckt hatte und wie er die Kette infiltriert und sogar einige interessante Dinge erfasst hatte. Außerdem schlug Liam vor, dass sie mit Eoin sprechen sollten, also riefen sie Eoin an.

EOIN: Mein Name ist Eoin Miller. Von 2011 bis 2016 hab ich im IT-Sicherheitsteam von AOL gearbeitet, dem Team, das sich um IT-Sicherheitsvorfälle kümmerte. Eines Tages erhielt ich eine Meldung über verdächtige Aktivitäten: Sie betraf eine bestimmte IP-Adresse in unserem Netz zu einem bestimmten Zeitpunkt. Ich wurde darüber informiert, dass dies mit möglichen Bayrob-Aktivitäten in Zusammenhang stand.

Ich sah mir den Vorfall also genauer an und ging den Verbindungen nach. Und dabei konnten wir bestimmte Domains, die die Angreifer nutzten, mit mehreren AOL-Konten in Verbindung bringen. Über diese Konten leiteten sie ihren Datenverkehr durch unser Netz.

Damals konnte sich jeder kostenlos ein AOL-Konto anlegen und darüber Datenverkehr über IP-Adressen aus unserem Einwahlbereich leiten. Damit funktionierte AOL für die Angreifer praktisch wie ein großer, kostenloser und frei zugänglicher Proxy-Dienst. Einen kostenlosen E-Mail-Dienst boten wir ebenfalls an.

Wir hatten ein System aufgebaut, das den gesamten Netzwerkverkehr aufzeichnete und durchsuchbar machte. Damals hieß es Moloch, heute heißt es Arkime. Wir setzten es auf der Ebene des Internetanbieters ein.

Die Gruppe nutzte unsere Dienste intensiv – ebenso wie die Dienste anderer Anbieter mit ähnlichen Angeboten. Sie legten neue Konten an, chatteten mit Leuten und nutzten die Dienste auch für andere Zwecke. Wir begannen deshalb, ihre Aktivitäten genauer zu untersuchen: Wann verbanden sie sich mit unserem Netz? Von wo aus? Und was ließ sich aus dem Datenverkehr erkennen, der über unsere Systeme lief?

JACK: Eoin von AOL fütterte jetzt also das FBI mit Bruchstücken von Dingen, die er sah. Zur gleichen Zeit lauschte Liam immer noch dem Traffic über die Proxy-Ketten, und ab und zu sah er, wie sie sich als erster Sprung mit der Proxy-Kette verbanden, was wahrscheinlich bedeutete, dass die Kriminellen sich von zu Hause aus damit verbanden. Er würde also das FBI anrufen und sagen, hört mal, ich habe einen starken Verdacht, dass das die IP-Adressen der Kriminellen sind, und sie sind in Rumänien. Das FBI würde also die rumänische Polizei kontaktieren und sie fragen, könntet ihr herausfinden, wem diese IP-Adresse gehört und nachschauen, ob das unsere Typen sind.

RYAN: Die rumänische Nationalpolizei war großartig. Sie sind hingefahren, kamen zurück und sagten, wir haben gerade mit einer wirklich netten Lehrerin gesprochen, und von da an schickten wir die rumänische Nationalpolizei überall in Rumänien hin. An je mehr Türen sie anklopften, desto stärker wurde uns klar, dass da was vor sich ging, das wir einfach noch nicht verstanden.

JACK: Was? Obwohl sie also sechs oder sieben Sprünge durch diese Proxy-Kette nutzten, bevor sie irgendwas Bösartiges taten, war ihnen das immer noch nicht gut genug, um ihre Spuren zu verbergen. Diese Angreifer taten sogar noch etwas, bevor sie in die Kette gingen, um ihre Spuren noch mehr zu verwischen. Eine Zeit lang kamen ihre Verbindungen alle aus dem Haus einer Lehrerin in Rumänien und dann in die Proxy-Kette, oder es kam aus irgendeinem anderen Haus in Rumänien, aber nie für eine lange Zeit. Ihr Ausgangspunkt schien sich überall in der Stadt zu bewegen. Diese Typen waren wirklich gut.

BRIAN: Es war zu diesem Zeitpunkt wirklich heikel, denn das Justizministerium ging damals sehr zurückhaltend mit den Ermittlungsmaßnahmen um, die es anordnete. Wir mussten genauestens begründen, was wir taten. Das war sehr schwierig, weil wir oft nur Verschlüsseltes zurückbekamen. Ich musste dann eine Erklärung abgeben, warum es trotzdem sinnvoll war, diese Maßnahmen fortzuführen. Es hieß: „Ihr bekommt nichts Brauchbares. Warum verschwendet ihr eure Zeit damit?“ Wir wussten aber, dass diese Leute so raffiniert waren, dass man jederzeit alle verfügbaren Informationen sammeln musste. Man wusste ja nie, was am Ende hilfreich sein würde. Es ging also auch um kleinste Hinweise.

JACK: Das FBI sammelte weiter alle Daten, die es konnte. Sie hatten Liam, der sie mit Daten fütterte, die bei Symantec erfasst wurden. Sie hatten Eoin, der ihnen weiterreichte, was er bei AOL gefunden hatte, und sie befragten Opfer und Geldkuriere und protokollierten so viele Chats wie möglich. Ich glaube, sie machten einen Scheinkauf und versuchten, so viel wie möglich mit diesen Hackern zu sprechen. Aber vieles davon führte zu nichts, da alles verschlüsselt, verschleiert und verwoben war.

STACY: Wir waren wirklich gründlich. Wir bekamen Informationen aus Rumänien, wir sammelten die Infos von Liam. Ich denke, einen der größten Durchbrüche hatte Eoin bei AOL, aber davon kann er selbst erzählen.

Ein Tippfehler führt zu einem Namen

EOIN: Ja, klar. Also, eines der Gruppenmitglieder gab gerade seine E-Mail-Adresse ein, um sich bei gmx.de oder 1&1 anzumelden. Damals wurde für das Anmeldeformular noch kein SSL verwendet. Als er also seine E-Mail-Adresse eingab, tippte er zunächst seine private E-Mail-Adresse ein, sagte dann „Ups“ und meldete sich anschließend mit seiner sogenannten „beruflichen“ E-Mail-Adresse an. Wir haben also dieselbe IP-Adresse zur gleichen Zeit – innerhalb von zehn Sekunden, also erst die Eingabe der E-Mail-Adresse einer anderen Person und dann die des Akteurs.

JACK: Das ist so viel Beharrlichkeit von den Ermittlerinnen und Ermittlern, aber auch so viel Disziplin von den Angreifern. Der Angreifer tippte also versehentlich die falsche E-Mail-Adresse ein, und obwohl das Login für diese E-Mail fehlschlug, war es Hinweis genug für Eoin, weiter nachzuforschen. Die E-Mail-Adresse war raduspr@gmx.de. Gab es also irgendwas zu finden für diesen raduspr-Namen?

EOIN: Damals konnte man auf Facebook ziemlich einfach Leute über ihre E-Mail-Adresse finden. Ich hab die Adresse eingegeben und – da war er. Dann hab ich weitergesucht: Die hatten YouTube-Kanäle, jede Menge Videos vom Fallschirmspringen, irgendwas mit „T&T Brothers“, glaube ich. Dazu kamen Beiträge in rumänischen Offroad-Foren und Fotos – eigentlich alles, was man sich wünschen konnte. Wer die anderen waren, wusste ich nicht. Aber bei ihm war ich mir ziemlich sicher: Das ist unser Mann.

BRIAN: Also, wir haben AOL ein Herausgabeverlangen für all diese Daten geschickt, und sie meinten, alles klar, das ist eine Menge an Informationen. Kommt einfach vorbei und wir geben euch die und erklären sie. Also sind wir hingegangen. Ich erinnere mich, es waren Stacy und Ryan, und es war unglaublich.

JACK: Brian, der zuständige Staatsanwalt des Justizministeriums, war begeistert.

BRIAN: Also, zu diesem Zeitpunkt haben wir angefangen, Ermittlungsanordnungen einzusetzen. Wir haben in diesem Einsatz Hunderte oder Tausende solcher Maßnahmen durchgeführt, sowohl im Inland als auch im Ausland. Sobald wir eine Vorstellung davon hatten, wer einer der Akteure war, hatten wir mehr Informationen, die wir Rumänien zur Verfügung stellen konnten. Das haben wir über ein Rechtshilfeersuchen im Rahmen eines gegenseitigen Rechtshilfeabkommens gemacht, eines sogenannten Mutual Legal Assistance Treaty, kurz MLAT. Und sie haben dann in Rumänien alles Mögliche unternommen, um uns hilfreiche Informationen zu beschaffen. Wir haben daraufhin festgestellt, dass der bestehende Ablauf der MLATs für diesen Fall zu langsam war, weil die Kriminellen ständig ihre Infrastruktur geändert haben. Deshalb mussten wir mit unserem Büro für Internationale Angelegenheiten zusammenarbeiten, um eine verkürzte Version des MLAT-Verfahrens hinzubekommen.

JACK: Sie haben tatsächlich ihre Standorte gewechselt, richtig?

BRIAN: Sie waren in Bewegung – na ja, wir wussten nicht, was sie genau machten. Wir bekamen einfach immer wieder unterschiedliche IP-Adressen und Informationen. Also, was wir durch Rumäniens Antwort auf unser Rechtshilfeersuchen herausgefunden haben, war, dass es drei Personen gab, die miteinander kommunizierten. Eine von denen war die Person, die Eoin anhand der verschlüsselten Nachrichten identifiziert hatte. Diese verschlüsselte Kommunikation konnten wir aber nicht knacken, und Rumänien auch nicht. Wir sahen nur, dass die Personen zu Hause, auf den Geräten, die sie nicht für kriminelle Aktivitäten benutzten, ihren Datenverkehr nicht verschlüsselten. Und da besuchten sie Websites für Kryptowährungen, und zwar bestimmte, auf die sich diese Gruppe nach unserem Wissen konzentrierte. Aber das war kein wirklich stichhaltiger Beweis. Der reichte nicht aus, um sie anzuklagen oder auszuliefern oder irgendetwas anderes zu tun. Es ließ uns nur vermuten, dass wir die richtigen Leute erwischt hatten. Aber wir waren lange an diesem Punkt, an dem wir dachten, wir wissen zwar, wer die drei Leute sind, können aber nichts tun, weil sie alles verschlüsseln.

JACK: Wir sind jetzt also im siebten oder achten Jahr dieser FBI-Untersuchung.

RYAN: Genau zu diesem Zeitpunkt befinden wir uns im Verfolgungsmodus. Wir versuchen also, so viel Einblick wie möglich in ihre Infrastruktur zu kriegen, und ungefähr zu diesem Zeitpunkt gelingt es uns, Daten von ihren Systemen abzufangen, die die gesamte Malware steuern. Sie verfügten also über eine mehrschichtige Command-and-Control-Infrastruktur, bei der die gesamte Malware alle Daten an die erste Ebene meldete und diese Ebene wiederum die Daten dann an mehrere Server weiterleitete, die an verschiedenen Orten gehostet wurden. Als Team konnten wir herausfinden, wo sich diese Server befanden. Also haben wir – im Rahmen eines gerichtlichen Verfahrens – eine Datenüberwachung für einige dieser obersten sogenannten Command-and-Control-Server erwirkt und konnten so die Kommunikation des gesamten Botnetzes einsehen. Das bedeutete, dass wir sehen konnten, wann sie ihre Malware aktualisierten, wie einige ihrer Kampagnen aussahen und wie sie zusätzliche Plug-ins luden. Zu diesem Zeitpunkt hatte diese Gruppe also eine Reihe verschiedener Geschäftsfelder.

Sie behandelten all diese infizierten Systeme – und das waren damals circa 400.000 – wie eine Ware. Jeder Computer konnte eine Reihe verschiedener Funktionen ausführen. Wir haben beobachtet, wie sie diese Computer angewiesen haben, sich Mining-Pools anzuschließen und für sie Kryptowährung zu schürfen. Sie konnten als Proxys genutzt werden, und einige dieser Proxys wurden auf AlphaBay an andere Cyberkriminelle verkauft. Sie betrieben Werbebetrug und durchsuchten diese Systeme nach Kreditkartendaten, die sie dann ebenfalls auf AlphaBay verkauften. Sie waren also Anbieter auf AlphaBay. Sie ersetzten den Internetbrowser der Opfer durch eine angepasste Version ihres eigenen Internetbrowsers. Alles, was über diesen Internetbrowser gemacht wurde, wurde auf Server in North Carolina hochgeladen. Dann konnten wir tatsächlich beobachten, wie sie all diese Daten durchforstet haben. Wenn sie also Konten bei der Bank of America benötigten, konnten sie dort hineinspringen. Sie konnten zu Chase gehen und einen Befehl erteilen, der lautete: „Zeige mir alle Chase-Daten, die ich abgegriffen habe.“

JACK: Whoa. Während das FBI also seinen Druck verstärkte, taten das die Kriminellen auch und ihre Einnahmequellen stiegen. Alles war mittlerweile erheblich gewachsen von einem bescheidenen eBay-Betrug mit 6000 infizierten Konten zu einer weltweiten Plage von Hunderttausenden infizierten Computern, die alles stahlen, was sie konnten, und alles verkauften, von dem sie dachten, es sei wertvoll. Sie machten jetzt Millionen von Dollar, und das FBI wollte sie zu diesem Zeitpunkt wirklich stoppen. Aber diese Typen waren gut, wirklich gut. Sie hatten ein ausgeklügeltes Proxy-Netzwerk. Sie nutzten PGP für all ihre E-Mails. Sie nutzten Ende-zu-Ende-verschlüsselte Jabber-Chats, wenn sie miteinander kommunizierten, und verschlüsselten alles, was sie zwischen ihnen und dem Command-and-Control-Server hin- und herschickten. Das FBI konnte nicht mal dem Geld folgen, da das System ein riesiges überregionales Netzwerk von Geldkurieren nutzte. Obendrein bewegten sie sich in Rumänien, änderten ständig IP-Adressen, sodass die rumänische Polizei sie auch nicht finden konnte.

JACK: Die Ermittlerinnen und Ermittler kannten inzwischen die Methoden – doch die Menschen hinter der Malware blieben bisher unsichtbar. Das sollte sich ändern: Ein winziger Fehler sollte nach Jahren der Suche ihre Spur offenlegen. Mehr dazu in Folge 2 von „Das Auto, das es nie gab“.

Diese Episode wurde im englischen Original von Jack Rhysider erstellt. Den Text haben Judith Hohmann, Marko Pauli, und Isabel Grünewald übersetzt. In dieser Podcastfolge hört Ihr darüber hinaus die Stimmen unserer Kollegen Ansgar Kossowski und Robin Ahrens.