Das Auto, das es nie gab (Teil 1)

00:00:00: Was für ein großartiges Format, das über die Jahre geworden ist.

00:00:04: Ich hab so viel Spaß dabei und ich glaube diese Episode war für mich ein Abenteuer, dass sich nie vergessen werde!

00:00:10: Es is eine große und wilde Geschichte... Also lasst uns keine Zeit verschwenden!

00:00:18: Die Darknet Diaries auf Deutsch.

00:00:33: Das hier ist Liam!

00:00:53: Ja, ich bin Liam Omerko und arbeite seit dem Jahr zwei Tausend vier bei Symantec.

00:00:57: Ich arbeite dort in der Security Response Abteilung tätig und analysiere Malware.

00:01:05: Du kommst mir bekannt vor was du im Fernsehen?

00:01:09: Ja, ja das war ich.

00:01:11: Ich verteile des Teams bei Symantec dass Stuxnet analysiert hat den Virus der die Technik in Uran Anreicherungsanlagen in Natanz im Iran infiziert hat.

00:01:24: Ja du warst einer der ersten die erklärt haben was da entdeckt wurde?

00:01:28: Ja genau wir waren das Team das herausgefunden hat was StuxNet überhaupt gemacht hat worin die Schadfunktion bestand wie es funktionierte wie sich verbreitet und gegen Wien es gerichtet war.

00:01:40: Ja, deshalb war ich in einem Dokumentarfilm zu sehen der im Jahr auch für einen Oscar nominiert war Zero Days vom Regisseur Alex Gipney.

00:01:48: Da ist im Grunde zu sehen was sich in meinem Job so alles mache.

00:01:52: Dann hat Kim Setter auch ein Buch darüber geschrieben und darin die ganze Geschichte und unsere Arbeit vorgestellt.

00:02:01: Ja, Stuxnet war ein Riesending das wirklich gezeigt hat wie weit die NSA geht um Malware zu entwickeln.

00:02:08: Nach StuxNet hat Liam weitere Angriffe untersucht.

00:02:12: Ich glaube am meisten Spaß macht es ihm neuartige Bedrohungen zu analysieren also solche die die Welt noch nie gesehen oder verstanden hat.

00:02:21: Eines Tages landete eine neue Art Shards-Doftware auf liems Schreibtisch.

00:02:28: Ja, also wenn auf den Rechnern unserer Kunden bei Symantec Malware landet, schicken sie die dann uns zur Analyse.

00:02:36: Und ich bekam da eine Datei, die sich ganz anders verhielt als andere Malware.

00:02:41: Das war maßgeschneidert – nichts von der Stange!

00:02:45: Beide Analysen neuer Schadsoftware gibt's viel zu tun aber zuerst braucht man ein vollständiges Muster davon und das hatte Liam noch nicht.

00:02:54: Er wollte wirklich wissen, was diese Malware macht und was sie mit dem Opfer anstellt.

00:03:00: Was das Ziel ist?

00:03:01: Wer die Leute sind, die Sie erstellt haben und wie sie sich

00:03:05: verbreitet.".

00:03:08: Mir war klar dass sie da versuchten eBay Kunden zu betrügen.

00:03:11: Ich wollte den ganzen einen Namen geben und da ich Ebay nicht als Markennamen verwenden durfte, entschied ich mich für Bayrop weil sie eben die Kunden von eBay beklauten.

00:03:21: Die Malware funktionierte so, wenn sie sich auf einem Computer befand und man dann versucht hat eine Verbindung zur eBay-Website herzustellen fing die Malware diese Verbindung ab und fügte falsche Informationen in die Browser Sitzung ein.

00:03:35: Es sah dann so aus als kämen diese falschen Informationen tatsächlich von ebay.

00:03:40: es fiel einem nicht auf das etwas nicht stimmte.

00:03:43: Das Ganze wurde dann genutzt um Dinge zu verkaufen die es auf ebay gar nicht gab.

00:03:50: Er schrieb einen kurzen Bericht und veröffentlichte, was er über diese Malware wusste.

00:03:55: Aber er hatte noch nicht alle Puzzleteile – er wollte mehr darüber wissen!

00:03:59: Die Probe die er hatte reichte nicht ganz aus um ein Rechner vollständig zu infizieren und diese Malwear zu beobachten.

00:04:08: Es schien infiziert zu sein aber auf seinem Rechler passierte nie etwas.

00:04:12: Also ging er auf die Jagd um mehr zu erfahren und musste wie ein Opfer denken Wie gerät man an sowas?

00:04:20: Wie wird die Shardsoftware ausgeliefert?

00:04:23: Wie wird man

00:04:23: infiziert?".

00:04:25: Er fand heraus, welche Fallen es gab in die Leute tapten um infiziert zu werden.

00:04:30: Speziell durch Fishing-Emails und Posts bei Cracklist dem amerikanischen Gegenstück zu kleinern zeigen.

00:04:39: Ich suchte weiter nach dem fehlenden Puzzleteil.

00:04:42: Dafür durchforstete ich immer wieder unsere Telemetriedaten und schaute auch an den Stellen nach, an denen das Ganze vermutlich verbreitet wurde.

00:04:50: Zum Beispiel auf Craigslist und in E-Mails.

00:04:54: Ich hoffte irgendwo ein vollständiges Paket zu finden mit dem ich den Betrug von Anfang bis Ende analysieren konnte.

00:05:01: Was genau machten die Angreifer?

00:05:03: Wie verdienten sie Geld damit und wohin floss es?

00:05:07: Ich wollte das Gesamtbild verstehen Wie sich aber herausstellte, konnte ich den Fall auch deshalb nicht aufklären.

00:05:14: Weil die Angreifer ihren Betrug per Geo-Fencing auf die USA beschränkt hatten und dort sogar nur auf bestimmte Regionen.

00:05:22: Ich saß damals in Irland.

00:05:23: wenn ich also versuchte die betrügerischen Auktionen aufzurufen bekam mich die entsprechenden Inhalte nicht zu sehen weil ich mich nicht in den USA befand.

00:05:38: Das finde ich schon beeindruckend, dass diese Malware nur für Amerikanerinnen und Amerikanern funktionierte.

00:05:44: Wer anderswo auf der Welt infiziert war, war quasi immun – verrückt!

00:05:48: Da er also nicht von diesen eBay-Auktion betrogen werden konnte, versuchte er jemanden zu finden, der davon betrogen worden war.

00:05:58: Und er fand tatsächlich jemanden die Tausende von Dollar verloren hatte nachdem sie versucht hatte ein Auto auf eBay zu

00:06:04: kaufen.".

00:06:07: Ich habe herausgefunden, wer die Betroffene war und dann habe ich Kontakt zu ihr aufgenommen.

00:06:11: Nachdem sie einmal betrogen worden war hatte sie eine weitere ganz ähnliche Auktion entdeckt und sich dort ebenfalls angemeldet.

00:06:20: Dabei hatte sie das komplette Schadsoftware-Paket erhalten – ich sprach mit ihr und sie war bereit es mir zur Verfügung zu

00:06:27: stellen.".

00:06:29: Er konnte die Schad-Software von ihrem Rechner bekommen.

00:06:33: Er entdeckte, wie sie funktioniert und was sie macht.

00:06:36: Wie die Infektion passiert... ...und wie die Kriminellen sie nutzen um Geld zu stehlen!

00:06:41: Aber er wollte sie noch in Aktion sehen.

00:06:45: Also schmiedete er einen Plan.

00:06:48: Ich gab mich als Sie aus und ging dann online um das Auto zu kaufen.

00:06:52: Die Angreifer hatten die eBay-Seite so manipuliert dass bei der gefälschten Auktion auch ein Chatfenster erschien.

00:06:59: Wer dort eine Nachricht schrieb, glaubte mit dem eBay-Kundendienst zu sprechen.

00:07:04: Tatsächlich saßen am anderen Ende die Angreifer.

00:07:08: Ich spielte den Kauf durch und unterhielt mich dabei so ausführlich wie möglich mit ihnen.

00:07:13: Ich wollte herausfinden, wie gut sie Englisch sprachen.

00:07:16: Außerdem schrieb ich ihn zu verschiedenen Tageszeiten um ein Gefühl dafür zu bekommen wann Sie erreichbar waren und wann nicht.

00:07:24: das alles zeichnete ich auf.

00:07:27: Am Ende führte ich den vermeintlichen Autokauf, soweit durch das sie mir mitteilten ein wenig das Geld überweisen sollte.

00:07:34: An einen Finanzagenten der das Geld für Sie entgegennehmen sollte.

00:07:39: Dort brach ich ab – Geld habe ich also nicht überwiesen!

00:07:43: Zu diesem Zeitpunkt hatte ich also Information über einen Opfer, wusste genau wie die Masche funktionierte und wie viel Geld die Angreifer damit verdienten.

00:07:52: Vor allem aber hatte ich ein Video das den gesamten Ablauf zeigte von Anfang bis Ende.

00:07:58: Ich veröffentlichte einen Blogbeitrag dazu.

00:08:01: so funktioniert der Betrug so sieht er aus und so kann man sich schützen.

00:08:06: Dazu stellte ich die Aufnahmen, in denen ich den Autokauf durchspielte und mit den Angreifern chattete.

00:08:15: IMS-Blockpost kam gut an – Die Leute mochten ihn, lasen und teilten ihm.

00:08:21: Nachdem er ihn gepostet hatte, wandte sich Liam anderen Dingen zu.

00:08:24: Er hatte das Gefühl, er sei dem ziemlich auf den Grund gegangen!

00:08:28: Er hatte Signaturen erstellt, woran man sie erkennt und welche Command & Control Server die Schadsoftware benutzt ... Damit konnten Unternehmen Schutzmaßnahmen einleiten und diese Server blockieren.

00:08:40: Damit hätte die Sache erledigt sein können.

00:08:43: Stattdessen begannen sie sich danach zu

00:08:45: verändern.".

00:08:49: Sie benannten ihre Command-and-Control-Server auf verschiedene Arten, sie wählten dazufällige Namen für die URLs auf den Servern aber dann fingen sie an meinen Namen da reinzupacken.

00:09:01: Es gab dann also Domain-Namen wie gayasholeleam.com, tinycockleam .com, Liamthemule.com thankyouleam dot.

00:09:11: com ja verschiedene Variationen davon über die Jahre.

00:09:15: Dann konnten sie auch weil es einen kleinen verschlüsselten Bereich darunter gab eine Nachricht in der malware hinterlassen von der Sie wussten das nur ich sie sehen würde oder jemand der die Malware analysiert Und dahinter ließen sie dann Nachrichten, wie Semantec macht Gruppen-Masturbation.

00:09:33: Das war eine davon!

00:09:34: Also über die Jahre hinterließen Sie solche Nachrichten für mich und ich wollte natürlich verstehen was da vor sich geht.

00:09:44: Meine Lieblingsnachricht, die sie für ihn in der Malware hinterließen war, Simantec Team ist ein großer Hühnerstall Hunschlau.

00:09:53: Hühnerschall Hunschlau?

00:09:54: Was soll das

00:09:55: heißen?!

00:09:56: All diese Verspottung und Provokation brachten Liam dazu, sich dieses Bayrop-Malware noch mal genauer anzuschauen.

00:10:04: Es war sein Name in der Malware, der ihn wieder dorthin zog.

00:10:08: Er besorgte sich einen Computer, richtete ihn im Labor ein, infizierte ihn mit einer frischen Kopie der Schadsoftware und analysierte sie weiter – weil er bei Symantec arbeitete hatte er Zugang zu ziemlich mächtigen Malware-Analysetools.

00:10:25: Also ließ er das durchlaufen.

00:10:28: Ich konnte erkennen, wo sie sich einlockten, wo Sie Ihre Server betrieben und wie Sie Ihren Datenverkehr leiteten – auch wie wir Teil dieses Rootings werden konnten und einige Ihrer Nachrichten einsehen und auch ihre Kommunikation infiltrieren konnten.

00:10:44: Und das war extrem wichtig um den gesamten Angriff zu verstehen!

00:10:51: Diese Art, wie die Malware rund um den Globus gehutet wird, fasziniert mich.

00:10:57: Um ihre Identität zu schützen leiteten sie ihren Datenverkehr über infizierte Rechner um so dass es für jemanden wie mich oder auch die Strafverfolgungsbehörden sehr schwierig war sie bis zu ihrem ursprünglichen Standort zurückzuverfolgen.

00:11:11: Sie sprangen über mehrere infizierten Rechne und das in verschiedenen Ländern.

00:11:16: Wenn man also ihre erste IP-Adresse sah und diese zurückverfolgte, stießt man auf ein Opfer.

00:11:22: Aber selbst wenn man diesen Rechner überwachte, stiegs man auf einen weiteren Opfer in einem anderen Land.

00:11:29: Sehr sehr schwierig so den Weg bis zu ihrem Heimrechner zurückzuverfolgen eine wirklich smarte Methode die Spuren zu verwischen.

00:11:38: Clever oder?

00:11:39: Die Angreifer würden sich also nie direkt mit ihrem Command & Control Server... oder ihren Opfern verbinden.

00:11:45: Sie würden nicht mal direkt miteinander sprechen.

00:11:47: Stattdessen würden sie immer mindestens drei Sprünge durch ihre infizierten Opfer nutzen, um mit irgendwas zu kommunizieren – sogar zum Googeln!

00:11:56: Wenn sie sich mit einem Opfer verbinden wollten, gingen sie drei Sprügel zu ihrem Command & Control Surfer und dann drei Sprünge zum Opfer.

00:12:04: Das machte es unglaublich schwierig nachzuvollziehen in welchem Land die Bay Rob Gang überhaupt war.

00:12:10: Zu der Zeit gab es über sechstausend Computer, die von dieser Bayrop Malware infiziert waren und jeder von ihnen konnte Teil dieser Proxikette sein.

00:12:21: Das brachte Liam auf eine Idee!

00:12:24: Wenn sie die infizierten Computer zum Durchverbinden nutzen bedeutet das dann dass der infizierte Computer den Liam in seinem Labor hat eine Wahrscheinlichkeit von eins zu sechs tausend hat?

00:12:36: Eine Verbindung von diesen Angreifern zu sehen?

00:12:39: Vielleicht... Also brachte er diesen infizierten Computer wieder online, ließ Netzwerk-Mitschnitte mitlaufen und wartete lange.

00:12:49: Über einen Monat lang ohne etwas zu sehen.

00:12:54: Eigentlich

00:12:54: fing alles unter meinem Schreibtisch im Büro an.

00:12:57: Ich hatte meinen kleinen Testrechner unter dem Schreibtische stehen, hab ihn dort eingerichtet und die Malware ausgeführt Und ich war dann sehr enttäuscht als ich merkte dass sie sich nie mit meinem Rechner verbunden haben.

00:13:09: Da wurde mir irgendwann klar, ach es gibt einen Algorithmus mit dem sie entscheiden.

00:13:14: Mit welchem Rechner Sie sich verbinden?

00:13:18: Ach was!

00:13:19: Nachdem Liam seinen infizierten Rechler ein Monat lang online hatte und auf Verbindungen von diesen Kriminellen lauschte bemerkte er dass ich die Malware nach einem Monat plötzlich veränderte.

00:13:31: mehr Kot wurde hinzugefügt Und dieser Kot hatte alle Details wie die Proxykette funktionierte.

00:13:38: Also musste ein Rechner zu Beginn dreißig Tage lang infiziert sein, bevor er überhaupt den Proxikettencode erhielt.

00:13:47: Er analysierte diesen Proxikkettencode und sah das nicht alle infizierten Rechners die gleiche Gewichtung hatten um von den Hackern als Zwischestation genutzt zu werden.

00:13:58: Da wurde mir dann klar dass es so war.

00:14:01: je höher die Bandbreite desto größer die Chance dass man genutst wurde.

00:14:05: Je weiter entfernt der Standort, desto größer die Chance, dass man genutzt wurde.

00:14:10: Also wanderte das Ganze von unter meinem Schreibtisch auf einen Server an der Westküste der USA und dann weiter auf einem Server an den Ostküsten der US.

00:14:23: Diesmal mit einem stärkeren Server mit höherer Bandbreite?

00:14:26: Und das gab ihm jetzt eine Eins zu vierhundert Chance, Nachdem er da saß und auf irgendwelchen Proxy-Traffic lauschte, der durchkam nichts.

00:14:42: Er schaute sich diesen Proxikettencode nochmal an und erfuhre dass sie bevor sie einen Computer in der Proxy Kette nutzten ein Screenshot von diesem Computer machen und sich den anschauen.

00:14:55: Sie wollten sehen ob es wieder Computer einer normalen Person aussah.

00:15:00: Männer wie Liims Computer als Sicherheitsforscher oder wie ein Polizeikomputer aussah, könnten diese etwas Verdächtiges bemerken und sie beschlossen sich nicht mit diesem Rechner zu verbinden.

00:15:11: Die Hacker überprüften jeden einzelnen Computer bevor Sie ihn in dieser Proxykette nutzten – heiliger Strohsag!

00:15:20: Liim musste also sicherstellen dass sein Computer im Labor wiederheim Computer von jemandem aussah.

00:15:27: Aber darüber hinaus entdeckte Liam auch, dass wenn der infizierte Computer in Rumänien war er in der Proxikette Priorität bekam.

00:15:36: Im Grunde hat er eine höhere Chance als ihre erste Station gewählt zu werden was auch ein Hinweis darauf sein könnte woher diese Typen kommen?

00:15:46: Also mietete er einen Computer in rumänien Infizierte ihn mit dieser Malware stattete ihn mit einer schnellen Internetverbindung aus ließ ihn wie den Computer eines normalen Nutzers aussehen und wartete dreißig Tage, bis der Proxykettencode ankam.

00:16:03: Und wartete dann noch länger.

00:16:06: Diesmal dachte er, er hätte eine eins zu vierzig Chance das sie sich mit seinem Rechner verbinden.

00:16:15: Irgendwann verbannten Sie sich tatsächlich mit meinem Rechler.

00:16:18: Er war damit die erste Station in der Kette Und so bekam ich die IP-Adresse ihres Heimanschlusses zu sehen.

00:16:25: Oder zumindest die Adresse, die ich dafür hielt.

00:16:27: Diese Adressen führten nach Rumänien und Bukarest in eine Stadt namens Badarschow.

00:16:33: Hin und wieder unterlief ihnen ein Fehler.

00:16:35: Dann wurde sichtbar von wo aus sie sich verbanden.

00:16:39: Die Proxy-Rechner verriet mir nicht nur etwas über ihren möglichen Standort ... Ich konnte auch sehen was Sie über diese Verbindungen übertrugen.

00:16:48: Das war eine wahre Fundkruge!

00:16:51: Sie fühlten sich offenbar geschützt und sicher.

00:16:54: Ich sah dann aber zum Beispiel, wie sie ihre Betrugsaktionen vorbereiteten.

00:16:58: Sie übertrogen die Daten, die sie dafür brauchten, suchten bei Google nach passenden Bildern und Texten und richteten E-Mail-Kampagnen ein.

00:17:11: Wow!

00:17:12: Was für einen erstaunlichen Einblick er in diese Angreifer hatte.

00:17:16: Die Typen nutzten diese Proxienetzwerke für alles.

00:17:20: Jedes Mal wenn sie E-Mails checkten oder Geld bewegten, oder ja sogar googelten, routeten Sie unwissentlich ihren Traffic durch Liebens Computer – oder zumindest manchmal und erzeichnete alles auf.

00:17:34: Aber nur weil Liam im Verbindungsfahrt war und diese Daten erfasste waren die Daten nicht lesbar!

00:17:41: Das liegt daran dass diese Typen alles verschlüsselten.

00:17:44: Die gesamte Kommunikation zum Command & Control Server war verschlüsselt….

00:17:49: Alle Kommunikation zwischen den verschiedenen Angreifern war verschlüsselt.

00:17:53: Er konnte erkennen, dass diese Typen über Jabba sprachen?

00:17:57: Konnte aber keine der Nachrichten sehen da sie OTR nutzten auf The Record was Ende zu Ende Verschlüsselung auf alle Jabba Chats bereitstellt!

00:18:06: Die meiste Zeit hatte Liam also nichts als verschlüsselten Kauderwelsch.

00:18:11: Aber ab und zu sah er einen kleinen Funken wo etwas nicht ganz vollständig verschlüsselt oder Metadaten über eine Verbindung veriten ihm, was sie gerade machten.

00:18:25: Zu diesem Zeitpunkt hatte Leben diese Malware schon jahrelang untersucht und verfolgt – und hatte ein viel tieferes Verständnis davon wer dahinter steckt – verglichen mit seinem ersten Blog-Post.

00:18:39: Ich habe die Malware analysiert und wusste dadurch, wohin sie weltweit Verbindungen herstellten.

00:18:44: Ich dachte mir okay ich kann dagegen nichts tun aber ich weiß dass die Strafverfolgungsbehörden einschreiten könnten das Sie also die Server die Computer und die Domains beschlagnahmen und tatsächlich Maßnahmen dagegen ergreifen könnten.

00:18:59: Wir suchten deshalb nach einer Straf Verfolgungsbehörde mit der wir in diesem Fall zusammenarbeiten konnten.

00:19:04: Inzwischen hatten wir ausführlich dokumentiert, was die Angreifer taten.

00:19:08: Und so kamen schließlich der Kontakt zum FBI zustande.

00:19:14: Aber wie sich herausstellte war das FBI schon dran.

00:19:20: Hi!

00:19:21: Ich bin Stacy Whitaker.

00:19:22: Inzwischen bin ich eine pensionierte FBI-Agentin.

00:19:25: Im Jahr war ich aber noch recht frisch beim FBI.

00:19:29: Ich war erst seit einem Jahr dabei und lernte einen Job kennen.

00:19:33: Auf jeden Fall wurde ich sehr früh von einem der ersten Opfer der Bayrop-Gruppe kontaktiert.

00:19:38: Es hatte sich bei uns gemeldet, ich arbeitete zu der Zeit in dem Büro in Cleveland und diese Person meldete sie dort beim FBI-Büro um zu melden dass sie auf ebay betrogen worden war.

00:19:49: Ich hatte einfach ihren Anruf entgegen genommen als sie im Büro anrief und sprach mit ihr darüber was passiert war.

00:19:55: Sie erklärte mir das sie versucht hatte so ein Auto auf eBay zu kaufen Und dass sie angeblich die Auktion gewonnen hat.

00:20:02: Sie hatte für das Fahrzeug bezahlt, ungefähr um US dollar.

00:20:06: Und dann bekam sie das Auto nie.

00:20:08: Es sollte zu hier gebracht werden und es kam nie an.

00:20:11: Beim ersten Anruf war das so ziemlich alles was diese Person wusste.

00:20:15: Ich bat sie also wie wir das beim FBI normalerweise tun Diese Informationen an IC-III zu melden.

00:20:22: IC-Try.gov ist eine Website, die wir nutzen um Informationen von Opfern all der verschiedenen Arten von Verbrechen zu sammeln, die hauptsächlich mit dem Internet zu tun haben.

00:20:33: und das tat sie da!

00:20:34: Sie ging auf IC-try und meldete es.

00:20:36: Zu der Zeit dachte ich, das war das Ende dieses Gesprächs denn natürlich würde das FBI normalerweise wegen US dollar keinen Fall eröffnen.

00:20:44: aber sie rief mich etwa zwei oder drei Tage später zurück und erzählte mir Dass sie selbst herausgefunden hatte, dass ihr Computer mit einem Virus infiziert war.

00:20:54: Und das mit diesem Ebay-Betrug zusammenhängen.

00:20:58: Es brauchte ein bisschen Überzeugungsarbeit bis ich dieser Person geglaubt habe, dass die tatsächlich recht hatte.

00:21:03: Aber sie schickte mir Lebensbericht über Bayrop und das war das erste Mal, dass sich seinen Bericht über diesen Virus las.

00:21:10: Daraufhin entschied mich diese Person persönlich zu treffen.

00:21:13: Ich nahm einen Computer-Forensiker aus unserem Büro mit, um ihren Computer dann zu schauen.

00:21:18: Damit wir bestätigen konnten, dass sie tatsächlich auf ihrem Computer mit diesem Virus infiziert waren und das taten wir.

00:21:25: Weil sie also mit Merway infiziert war, konnten wir dann die Ermittlungen einleiten, obwohl es so ein kleiner Geldbetrag war über den wir hier

00:21:32: sprachen.".

00:21:34: Um im Jahr

00:21:37: zwei Tausend Sieben herum Kamen lieben in Kontakt mit FBI-Special Agents Daisy, um ihr alles zu erzählen was er herausgefunden hatte.

00:21:46: Aber selbst mit all diesen Informationen machte das FBI keine Fortschritte in diesem Fall.

00:21:52: In den ersten fünf Jahren, in denen dieser Verlief passierte beim FBI sehr wenig.

00:22:01: Es bewegte sich alles sehr langsam und sehr frustriert extrem langsam und frustriern.

00:22:09: Ich würde sagen, dieser Fall ist in vielerlei Hinsicht ein sehr gutes Beispiel für den Wandel beim FBI.

00:22:14: Also am Anfang ... ... war das eine Zeit, in der wir bei dem FBI nicht unbedingt Hand-in-Hand mit der freien Wirtschaft arbeiten, weißt du?

00:22:23: Obwohl ich also ... ... mit Liam sprach, teilten wir zwar ein paar Informationen miteinander aber dann gingen wir unsere getrennten Wege.

00:22:31: Wir sprachen erst zwölf wieder

00:22:34: weil

00:22:34: man das zu der Zeit beim FBI ebenso gemacht

00:22:36: hat.

00:22:36: Wir

00:22:37: teilten nicht also viele Informationen mit dem Privatsektor.

00:22:40: Wir verschickten Vorladungen, wir stellten Durchsuchungsbefehle aus und wir sammelden Informationen aber wir arbeiteten nicht unbedingt Hand in Hand so wie heute auch zu der Zeit bearbeitet haben wir nicht unbedingt viele Ermittlungen die ins Ausland reichten.

00:22:54: Also nochmal ich war eine neue Agentin beim FBI Und ich eröffnete dieses ermittlungsverfahren und konnte ziemlich schnell feststellen dass das ganze Geld ins Auslands ging.

00:23:05: Ich verfolgte den Geldfluss, fand heraus, wo es in verschiedenen Ländern in Europa abgeholt wurde.

00:23:10: Und als ich das sah und mit den anderen Agenten in meinem Team sprach, war ihre Reaktion im Grunde ... Oh, da muss diese Akte schließen?

00:23:18: Noch mal!

00:23:19: Das waren zwei Tausend Sieben.

00:23:21: Wir hatten einfach nicht so viele Befugnisse und so viele Partnerschaften wie heute mit anderen Ländern.

00:23:26: Ich weigerte mich aber den Fall zu den Akten zu legen und arbeitete weiter daran Obwohl ich sehr eingeschränkt war bei dem, was ich tun konnte.

00:23:36: Wir hatten einen FBI-Berot im Bucharest in Rumänien und ich schickte also meine Informationen an unser FBI-Birot dort um zu versuchen... Anfangs war es eigentlich ihnen einfach Information über die Geldkurriere zu schicken, die das Geld abholten.

00:23:51: Ich konnte also das Geld verfolgen, dass über Western Union geschickt wurde Und anfangs wurde's in Griechenland abgeholt und dann war sie in Ungarn und dann waren wir in Rumänen.

00:24:03: Es waren mehrere verschiedene Länder in Europa, wo Geld abgeholt wurde.

00:24:06: Ich wusste am Anfang nicht unbedingt, dass es Rumänien war aber die meisten dieser Kuriere nutzten rumänische Ausweise wenn sie das Geld abholten.

00:24:15: Fünf Jahre lang konnte ich also größtenteils nur Aussagen der Opfer zusammen sammeln und ich erstellte eine Tabelle mit all diesen verschiedenen Opfern, die ich identifiziert hatte.

00:24:26: Ich identifizierte Konten der Geldkurriere oder deren IDs Und ich sammelte all diese Informationen.

00:24:36: Auch wenn Stacy neu beim FBI war, war sie ziemlich scharfsinnig und besonders mit Computern da sie vor dem FBI schon Programmiererin bei der Air Force war.

00:24:47: Sie war wirklich fasziniert von diesem Fall wahrscheinlich mehr als alle anderen zu der Zeit aber sie wusste Wenn sie den Fall lösen wollte würde sie mehr Hilfe brauchen.

00:25:02: Ich holte schließlich C-Sips dazu.

00:25:04: Also die Leute, die im US Justizministerium zu Computer und Urheberrechtsdelikten ermitteln um bei den rechtlichen Fragen zu helfen.

00:25:12: Und dann sprach ich zwölf wieder mit Liam der uns mit Owen verband.

00:25:18: Zu diesem Zeitpunkt wurde mir klar dass das eine sehr ausgeklügelte Gruppe ist mit der wir es da zu tun haben.

00:25:23: Das zeigt auch all die Arbeit die Liam bereits geleistet hatte.

00:25:26: Da war es offensichtlich, dass ich Unterstützung brauchte.

00:25:29: Denn obwohl ich im Cyber-Team in Cleveland war hatte ich keine super technischen Vorkenntnisse.

00:25:35: klar ein bisschen aber bei weitem nicht so viel wie Ryan.

00:25:39: Ich brauche also definitiv Hilfe.

00:25:41: Also baute ich Ryan mit mir an diesem Fall zu arbeiten.

00:25:50: Ja also mein Name ist Ryan McFarlane Aber damals war ich noch Cyberagent.

00:25:58: Ich kam aus Washington,

00:25:59: D.C.,

00:25:59: wo ich zwei Jahre lang bei unserer nationalen gemeinsamen Taskforce für Cyber-Ermittlungen tätig war und an regierungsweiten Gegenmaßnahmen gegen China mitgearbeitet hatte.

00:26:08: Ich wurde nach Cleveland versetzt – das Erste, worum ich gebeten wurde, war gemeinsam mit Stacey an diesem Fall zu

00:26:14: arbeiten.".

00:26:19: Stacey fängt also an, Special Agent Ryan über diesen Fall auf den neuesten Stand zu bringen.

00:26:25: Ich

00:26:25: lande also in Cleveland und beginne gemeinsam mit Stacey an diesem Fall zu arbeiten.

00:26:29: Die ersten sechs Monate bis zu einem Jahr habe ich damit verbracht die gesamte Infrastruktur aufzuspüren wie diese Täter nutzten.

00:26:37: Dafür hab' ich mit der US-Staatsanwaltschaft in Cleveland & dem CSAPS zusammen gearbeitet um rechtliche Schritte einzuleiten und umfangreiche technische Ermittlungen gegen die Bayrop Gruppe durchzuführen.

00:26:50: Natürlich ist das FBI-Gut darin, der Spur des Geldes zu folgen.

00:26:54: Sie erfuhren, dass diese Kriminellen viele Geldkurriere nutzten.

00:26:58: Wenn die Kriminellen also einen Opfer dazu brachten in Tausende von Dollar zu schicken wie durch eine eBay-Auktion, schickte das Opfer das Geld nicht direkt an die Kraminellen.

00:27:09: Stattdessen stellten die Kriminalen jemand anderen ein um das Geld einzuzammeln einen Teil davon zu behalten und den Rest an jemand anderen weiterzuleiten.

00:27:19: Dann würden Sie das Geld wieder an jemand anderem weiterleiten, und schließlich wird es dem ganzen Weg zu den Kriminellen geschickt oder in Kryptowährung umgewandelt – und dann den Kriminalen gegeben!

00:27:31: Wie kam man diese Geldkurriere, indem sie Anzeigen auf Facebook oder Cracklist schalteten die einen seriösen Job bewarben?

00:27:38: Zu wie

00:27:38: Heimarbeit?!

00:27:40: Dann tricksten sie den Geldkurier aus und belogen ihn darüber, warum und wohin das Geld geschickt wurde.

00:27:47: Das seltsame hier ist, dass obwohl der Geldkurier ausgetrickst wird und denkt, dass er eine seriöse Arbeit macht, ist es in Wahrheit illegal überhaupt Geldkurrier zu sein – diese Leute könnten dafür verhaftet werden!

00:28:00: Und nach mehr als fünf Jahren in dieser Untersuchung fingen das FBI an weitere Leute ins Boot zu holen….

00:28:08: Ich bin

00:28:09: Brian Levine und zu der Zeit war ich der Staatsanwalt für Cyberkriminalität in der Computer Crime Intellectual Property Section in Washington, DC.

00:28:17: Das

00:28:18: gehört zum Justizministerium?

00:28:21: Genau das ist eine Abteilung des Justiz Ministeriums!

00:28:24: Ich war außerdem der nationale Koordinator aller Staatsanwalte die auf Cyberkliminität und Verletzung geistigen Eigentums spezialisiert

00:28:30: sind.

00:28:31: Einer von ihnen war Duncan Brown, der als Bundesstaatsanwalt im Northern District of Ohio tätig war und von Duncan und Stacey hinzugezogen wurde um bei dem Fall zu

00:28:39: helfen.

00:28:42: Stacey und Ryan schauten sich den Fall genauer an – sie bekam viele Informationen von Liam Beismantec, der alles über die Funktionsweise der Proxyketten entdeckt hatte und wie er die Ketten infiltriert und sogar einige interessante Dinge erfasst hatte.

00:28:58: Außerdem schlug Liam vor, dass sie mit Owen sprechen sollten.

00:29:02: Also riefen Sie Owen an.

00:29:03: Mein Name ist Owen Miller und von zehntausend elf bis zweitausendsechzehn habe ich im IT-Sicherheitsteam von AOL gearbeitet dem Team das sich um IT Sicherheitsvorfälle kümmerte.

00:29:17: Eines Tages erhielt ich eine Meldung über verdichtige Aktivitäten.

00:29:21: Sie betraf eine bestimmte IP-Adresse in unserem Netz zu einem bestimmten Zeitpunkt.

00:29:26: Ich wurde darüber informiert, dass dies mit möglichen Bayrop-Aktivitäten im Zusammenhang stand.

00:29:31: Ich sah mir den Vorfall also genauer an und ging die Verbindung nach Und dabei konnten wir bestimmte Domains, die die Angreifer nutzten Mit mehreren AOL-Konten in Verbindung bringen.

00:29:41: Über diese Konten leiteten sie ihren Datenverkehr durch unser Netz.

00:29:46: Damals konnte sich jeder kostenlos ein AOL-Konto anlegen und darüber Datenverkehr über IP-Adressen aus unserem Einwahlbereich leiten.

00:29:54: Damit funktionierte AOL für die Angreifer praktisch wie ein großer, kostenloser und frei zugänglicher Proxydienst – einen kostenlosen E-Mail-Dienst boten wir ebenfalls am.

00:30:04: Wir hatten ein System aufgebaut das den gesamten Netzwerk Verkehr aufzeichnete und durchsuchbar machte.

00:30:10: Damals hieß es Moloch heute heißt es Archimie.

00:30:13: Wir setzten es auf der Ebene des Internetanbieters ein.

00:30:17: Die Gruppe nutzte unsere Dienste intensiv, ebenso wie die Dienster anderer Anbieter mit ähnlichen Angeboten.

00:30:24: Sie legten neue Kunden an, chatte mit Leuten und nutzte auch für andere Zwecke.

00:30:30: Wir haben deshalb angefangen ihre Aktivitäten genauer zu untersuchen.

00:30:33: Wann verbanden sie sich mit unserem Netz?

00:30:35: Von wo aus?

00:30:37: Und was ließ sich aus dem Datenverkehr erkennen, der über unsere Systeme lief?

00:30:48: Ohn von AOL fütterte jetzt also das FBI mit Bruchstücken von Dingen die er sah.

00:30:53: Zur gleichen Zeit lauschte Liam immer noch den Traffic über die Proxyketten und ab und zu sah er wie sie sich als erster Sprung mit der Proxykette verbannten was wahrscheinlich bedeutete, dass die Kriminellen sich von zu Hause aus damit verbanden.

00:31:08: Er würde also das FBI anrufen und sagen, hört mal ich habe einen starken Verdacht, dass das die IP-Adressen der Kriminellen sind?

00:31:16: Und sie sind in Rumänien!

00:31:18: Das FBI würde also die rumänische Polizei kontaktieren und Sie fragen könnte ihr herausfinden wem diese IP Adresse gehört und nachschauen ob das unsere Typen sind?

00:31:31: Die rumänische Nationalpolizei war großartig.

00:31:34: Sie sind

00:31:34: hingefahren, kamen zurück und sagten wir haben gerade mit einer wirklich netten Lehre ingesprochen

00:31:39: und

00:31:39: von da anschickten wir die rumänischen Nationalpolizie überall in Rumänen hin.

00:31:44: Ein je mehr Türen sie anklopften desto stärker wurde uns klar dass da was vor sich ging das wir einfach noch nicht verstanden.

00:31:53: Was?

00:31:54: Obwohl sie also sechs oder sieben Sprünge durch diese Proxykette nutzten, bevor sie irgendwas bösartiges Taten war ihnen das immer noch nicht gut genug um ihre Spuren zu

00:32:03: verbergen?!

00:32:04: Diese Angreifertaten sogar noch etwas.

00:32:07: Bevor sie in die Kette ging, um ihre spuren noch mehr zu verwischen!

00:32:12: Eine Zeit lang kamen ihre Verbindungen alle aus dem Haus einer Lehrerin in Rumänien und dann in die Proxykette.

00:32:19: Oder es kam aus irgendeinem anderen Haus in Rumänen Aber nie für eine lange Zeit.

00:32:25: Ihr Ausgangspunkt stien sich überall in der Stadt zu bewegen, diese Typen waren wirklich

00:32:30: gut.".

00:32:33: Es

00:32:33: war zu diesem Zeitpunkt heikeln, denn das Justizministerium ging damals sehr zurückhalten mit den Ermittlungsmaßnahmen um die es anordnete.

00:32:40: Wir mussten genauestens begründen was wir taten.

00:32:43: Das war schwierig weil wir oft nur verschlüsseltes Zurück bekamen.

00:32:47: Ich musste dann eine Erklärung abgeben warum es trotzdem sinnvoll war diese Maßnahmen fortzuführen.

00:32:52: Es hieß, ihr bekommt nichts Brauchbares.

00:32:54: Warum verschwendet ihr eure Zeit damit?

00:32:56: Wir wussten aber dass diese Leute so raffiniert waren das man jederzeit alle verfügbaren Informationen sammeln musste.

00:33:01: Man wusste ja nie was am Ende wirklich hilfreich sein würde.

00:33:05: es ging also auch um kleinste Hinweise.

00:33:08: Das FBI sammelte weiter alle Daten die's konnte.

00:33:12: Sie hatten Liam der sie mit Daten fütterte Die bei Symantec erfasst wurden.

00:33:17: Sie hatten Owen Der ihn weiterreichte Was er bei AOL gefunden hatte Und sie befragten Opfer und Geld kuriere, und protokollierten so viele Chats wie möglich.

00:33:27: Ich glaube Sie machten einen Scheinkauf und versuchten so viel wie möglich mit diesen Hackern zu sprechen Aber vieles davon führte zu nichts Da alles verschlüsselt verschleiert und verwoben war.

00:33:41: Wir

00:33:42: waren

00:33:42: wirklich gründlich!

00:33:44: Wir bekamen Informationen aus Rumänien.

00:33:46: wir sammelten die Infos von Liam Aber ich denke, einen der größten Durchbrüche hatte Owen bei AOL.

00:33:51: Aber davon kann er selbst

00:33:53: erzählen.".

00:33:58: Ja klar!

00:33:58: Also eines der Gruppenmitglieder gab gerade seine E-Mailadresse ein um sich bei gmx.de oder eins und eins anzumelden.

00:34:06: Damals wurde für das Anmeldeformular noch kein SSL verwendet.

00:34:11: Als er also seine E-Mail-Adresse eingab, tippte er zunächst seine private E-mailadresse ein, sagte dann Ups und meldete sich anschließend mit seiner sogenannten beruflichen E- Mail Adresse an.

00:34:24: Wir haben also dieselbe IP-Adress zur gleichen Zeit innerhalb von zehn Sekunden erst die Eingabe der E-Meil-Adresser einer anderen Person und dann die des

00:34:34: Akteurs.".

00:34:36: Da

00:34:38: ist so viel Behaarlichkeit von den Ermittlerinnen und Ermittlern, aber auch so viele Disziplin von den Angreifern.

00:34:45: Der Angreifer tippte also versehentlich die falsche E-Mail Adresse ein – und obwohl das Lock in für diese E-mail fehlschlug, war es hinweis genug vor Owen weiter nachzuforschen!

00:34:55: Die E-MAIL ADDRESSE war Redasperr atgimx.de.

00:35:01: Gab es also irgendetwas zu finden?

00:35:03: Für diesen Redaspar namen?

00:35:07: Damals konnte man auf Facebook ziemlich einfach Leute über ihre E-Mail Adresse finden.

00:35:12: Ich hab die Adresse also eingegeben und da war er, dann habe ich weitergesucht.

00:35:17: Die hatten YouTube Kanäle.

00:35:19: hier den Menge Videos vom Falschirmen springen irgendwas mit TNT Brothers glaube ich.

00:35:24: dazu kamen Beiträge in rumänischen Offroad Foren und Fotos eigentlich alles was man sich wünschen konnte.

00:35:31: Wer die anderen waren, wusste ich nicht.

00:35:34: Aber bei ihm war ich mir ziemlich sicher – das ist unser Mann!

00:35:42: Also wir haben AOL einen Herausgabe verlangen für all diese Daten geschickt und die meinten dann alles klar, dass es eine Menge an Informationen kommt einfach vorbei und wir geben euch die und erklären sie.

00:35:52: Also sind wir hingegangen.

00:35:53: Ich erinnere mich, es waren Stacy & Ryan und es war unglaublich.

00:35:59: Brian, der zuständige Staatsanwalt des Justizministeriums war begeistert.

00:36:05: Also zu diesem Zeitpunkt haben wir angefangen Ermittlungsanordnung einzusetzen.

00:36:09: Wir haben in diesem Einsatz hunderte oder tausende solcher Maßnahmen durchgeführt sowohl im Inland als auch im Ausland.

00:36:15: Sobald wir eine Vorstellung davon hatten, wer einer der Akteure war, hatten wir mehr Informationen die wir Rumänien zur Verfügung stellen konnten.

00:36:22: Das haben wir über ein Rechtshilfeersuchen im Rahmen eines gegenseitigen Rechtshilferabkommens gemacht – eines sogenannten Mutual Legal Assistance Treaties, kurz MLAT und sie haben dann in Rumänianen alles möglich unternommen um uns hilfreiche Informationen zu beschaffen.

00:36:36: Wir haben daraufhin festgestellt dass der bestehende Ablauf der MLATs für diesen Fall zu langsam war einfach weil die Kriminellen ständig ihre Infrastruktur geändert haben.

00:36:45: Deshalb mussten wir mit unserem Büro für internationale Angelegenheit zusammenarbeiten, um eine verkürzte Version des MLAT-Verfahrens hinzubekommen.

00:36:56: Wir

00:36:58: haben tatsächlich ihre Standorte gewechselt richtig?

00:37:02: Sie waren in Bewegung!

00:37:04: Na ja ... wir wussten nicht genau was sie machten aber wir bekamen einfach immer wieder unterschiedliche IP Adressen und Informationen.

00:37:10: Also was wir durch Rumäniens Antwort auf unser Rechtshilfeersuchen herausgefunden haben, war dass es drei Personen gab die miteinander kommunizierten.

00:37:18: Eine von denen war die Person, die ihren anhand der verschlüsselten Nachrichten identifiziert hatte.

00:37:23: Diese verschlüsselte Kommunikation konnten wir aber nicht knacken und Rumänien auch nicht.

00:37:27: Wir sahen nur das die Person zu Hause auf den Geräten, die sie nicht für kriminelle Aktivitäten benutzen in Datenverkehrn nicht verschlüsselten Und da besuchten sie dann Websites für Kryptowährung und zwar bestimmte, auf die sich diese Gruppe nach unserem Wissen konzentrierte.

00:37:41: Aber das war kein wirklich stichhaltiger Beweis!

00:37:44: Der reichte nicht aus um Sie anzuklagen oder auszuliefern oder irgendetwas anderes zu tun.

00:37:49: Es ließ uns nur vermuten dass wir die richtigen Leute erwischt hatten aber wir waren lange an diesem Punkt an dem wir dachten.

00:37:55: Wir wissen zwar wer die drei leute sind können aber nichts tun weil sie alles verschütteln.

00:38:04: Wir sind jetzt also im siebten oder achten Jahr dieser FBI-Untersuchung.

00:38:10: Zu

00:38:10: diesem Zeitpunkt befinden wir uns bereits in Verfolgungsmodus, wir versuchen also so viel Einblick wie möglich in ihre Infrastruktur zu kriegen und ungefähr zu diesem Zeit Punkt gelingt es uns auch Daten von ihren System abzufangen die die gesamte Mailware steuern.

00:38:24: Sie verfügen also über eine mehrschichtige Command-in-Control-Infrastruktur, bei der die gesamte Mailware alle Daten an die erste Ebene meldete und diese Ebene wiederum die Daten dann an mehrere Server weiterleitete, die an verschiedenen Orten gehostet wurden.

00:38:38: Als Team konnten wir herausfinden wo sich dieses Server befanden?

00:38:42: Also haben wir im Rahmen eines gerichtlichen Verfahrens eine Datenüberwachung für einige dieser obersten sogenannten Command in Control Server erwirkt und konnten so die Kommunikation des gesamten Botnetzes einsehen.

00:38:53: Das bedeutete, dass wir sehen konnten, wann sie ihre Mailwear aktualisierten wie einige ihre Kampagnen aussahen und wie sie zusätzliche Pluckins luden.

00:39:03: Zu diesem Zeitpunkt hatte diese Gruppe also eine Reihe verschiedener Geschäftsfelder.

00:39:08: Sie behandelten alle diese infizierten Systeme – das waren damals ca.

00:39:11: fourhunderttausend – wie eine Ware.

00:39:13: Jeder Computer konnte eine Reiher verschiedener Funktionen ausführen.

00:39:17: Wir haben beobachtet, wie sie diese Computer angewiesen haben sich Mining-Tools anzuschließen und für Sie Kryptowährung zu schürfen.

00:39:23: Sie konnten als Proxies genutzt werden und einige dieser Proxys wurden auf Alpha Bay an andere Cyberkriminelle verkauft.

00:39:32: Sie betrieben Werbebetrug und durchsuchten diese Systeme nach Kreditkartendaten die sie dann ebenfalls auf Alpha bay verkauften.

00:39:39: Sie waren also Anbieter.

00:39:42: Sie ersetzten die Internetbrowser durch eine angepasste Version ihres eigenen Internetbrowsers.

00:39:48: Alles, was über diesen Internetbrouser gemacht wurde, wurde auf Server in North Carolina hochgeladen.

00:39:53: Dann konnten wir tatsächlich beobachten wie sie all diese Daten durchforstet haben.

00:39:56: Wenn sie also Kunden bei der Bank of America benötigten, konnten sie dort hineinspringen.

00:40:01: Sie konnten zu Chase gehen und einem Befehl erteilen erlaubtete.

00:40:04: zeige mir alle Chace-Daten, die ich abgegriffen habe.

00:40:13: Oha, während das FBI also seinen Druck verstärkte taten dass die Kriminellen auch und ihre Einnahmequellen stiegen.

00:40:26: Alles war mittlerweile erheblich gewachsen Von einem bescheidenen eBay-Betrug mit sechstausend infizierten Konten zu einer weltweiten Plage von hunderttausenden Infiziertencomputern, die alles stahlen was sie konnten und alles verkauften, von dem Sie dachten es sei wertvoll.

00:40:43: Sie machten jetzt Millionen von Dollar – und das FBI wollte sie zu diesem Zeitpunkt wirklich stoppen!

00:40:50: Aber diese Typen waren gut… Wirklich

00:40:53: gut.".

00:40:54: Sie hatten ein ausgeklügeltes Proxy-Netzwerk, sie nutzten PGP für alle ihre E-Mails.

00:41:00: Sie nutzte Ende zu Ende verschlüsselte Jabberchats wenn sie miteinander kommunizierten und verschlüsselten alles was sie zwischen ihnen und dem Command & Control Server hin und her schickten.

00:41:12: Das FBI konnte nicht mal dem Geld folgen da das System ein riesiges überregionales Netzwerk von Geldkurieren nutzte.

00:41:21: Obendrein bewegten sie sich in Rumänien, änderten ständig IP-Adressen so dass die rumänische Polizei sie auch nicht finden konnte.

00:41:30: Die Ermittlerinnen kannten inzwischen nie Methoden doch die Menschen hinter der Malware lieben weiter unsichtbar.

00:41:37: Das sollte sich ändern.

00:41:38: Ein winziger Fehler sollte nach Jahren der Suche ihre Spur offenlegen.

00:41:43: Mehr dazu in Folge zwei von das Auto das es nie gab.

00:41:58: Diese Episode wurde im englischen Original von Jack Weasider erstellt.

00:42:02: Den Text haben Isabel Grünewald, Julie Homan, Robin Arins, Marco Pauli und Ansgar Kosowski übersetzt und gesprochen.

00:42:11: Produktion Marko Pauli Titelmusik Breakmaster Cylinder.

00:42:17: Dies sind die Darknet Diaries of Deutsch von

00:42:20: Heise Online.