Dieser Untertitel ist noch nicht fertig. Wenn du kannst, bitte unterstütze uns hier und schau den Talk in Amara an für die letzten Korrekturen: https://c3subtitles.de/talk/2837 Danke!
*37C3 Anspannungsmusik*
Engel: Ok dann freue ich mich euch alle sehr herzlich zu Hirne hacken der hackback
Edition begrüßen zu dürfen. Heute unsere zwei Vortragenden Linus Neumann und Kai
Biermann, beides bekannte Gesichter hier. Linus bekannt als IT security Consultant
und hatte das zweifelhafte Vergnügen schon mit unterschiedlichsten Ransomware Gangs
verhandeln zu dürfen oder zu müssen. Kai Biermann ist Investigativjournalist und
hat unter anderem Mitglieder der Ransomware Gang Conti entdeckt aufgedeckt
und heute werden sie uns ein bisschen was dazu erzählen wie man so spieltheoretisch
das Ganze verhandeln mit Ransomware Hackern angehen kann und was da die
spannenden Strategien sind. Bitte ein ganz herzliches Willkommen für Linus und Kai!
*Applaus*
Kai: Hallo Kongress eine Ehre hier zu sein! Danke euch! Das ist der Linus, der wurde
schon kurz vorgestellt, der mag gern reiten, schwimmen und hacken so viel zu
seinen Hobbys. Er wird öfters mal angerufen wenn irgendwo eine Firma
gecybert wird und deswegen steht er hier. Linus: Das ist der Kai, der hat keine
Hobbys die er öffentlich nennen möchte. *Lachen* Und ruft gerne mal an wenn jemand
gecybert wird weil er im Investigativressort von Zeit und Zeit
online arbeitet. Und wenn dieses Telefon so bei mir klingelt ist eigentlich der
erste Satz immer so: Linus, du musst sofort helfen, wir werden erpresst!
*Gemurmel* Und so als Einstieg möchte ich mal einen Fall von vor gar nicht allzu
langer Zeit schildern, wo ein Hacker oder eine Hackerin von einer eigenen Domain
eine E-Mail geschrieben hat. "Ich wurde angeheuert um Ihre Webseite zu
hacken, ich habe Zugriff auf alle Kundendaten und mein Kunde also der der
mich beauftragt hat zahlt zu wenig deswegen können Sie jetzt Ihre Daten
zurückkaufen und ich sage in die Schwachstelle."
*wachsendes Lachen*
Linus: Klang schon mal jetzt nicht so auf Anhieb überzeugend ja? Und dann auch was
ich sehr schön finde du so unmittelbare Selbstbeschuldigung: "Mir ist klar dass es
ihre Daten sind und ich der Kriminelle bin der sich Zugang zu ihnen verschafft hat,
werden sie jetzt aber nicht emotional, stellen Sie sich einfach nur mal den
Schaden vor wenn ich veröffentliche."
*Lachen*
Linus: Ja und ich habe ja schon gesagt das war ein Erpresser ja und er hat dann seine
Forderung uns mitgeteilt: "ich will 2000€".
*Lachen**Linus lacht*
L: Ja wir haben dann halt die SQL Injection gefixt und ich sag mal so mit
ein bisschen mehr Forderung hätten wir ihn wahrscheinlich auch ernst genommen, haben
uns dann aber entschieden vielleicht erstmal nicht zu antworten, worauf hin er
sagte "Ich muss dem Kunden jetzt in 24 Stunden antworten und Sie müssen sich
jetzt entscheiden, das ist kein Blöff." *laute Lachen*
Da haben wir erstmals ein Tee getrunken. *lachen*
Und dann schrieb er wieder "ich gebe ihn noch mal 24 Stunden *viele lachen*
aber aber dann aber dann!" L: Ja doch ist ein Blöff ja haben also
erstmal nichts gemacht und dann schrieb er: "also ich gebe ihnen jetzt noch ein
letztes Mal 24 Stunden dann aber wirklich! Und dann wurden die Drohungen "sagt er,"
und sie haben können sich gar nicht vorstellen, was jetzt noch alles passiert
und ja." So der Kunde wurde auch, was wenn er noch irgendwas Anderes hat und wir so
na ja, wenn er noch irgendwas Anderes könnte dann wird er wahrscheinlich nicht
2000€ fordern. Und wir haben uns aber gewundert, was ist das denn für Einer? Ja?
Also was ist das für ein Typ der so richtig wohlformulierte lange E-Mails
schreibt ja? Und uns war irgendwie nicht so klar, es war wohlformulierte Sprache,
ich sag jetzt nicht welche, aber sie war schön formuliert und wir hatten zwei
Hypothesen. Die eine war dass ist irgend so ein Abiturient der von zu Hause im
Kinderzimmer irgendwie meint er wäre jetzt der große Hacker, weil das könnte erklären
dass er 2000€ für viel Geld hält *lachen* oder ist Irgendjemand mit Chat GPT in
Indien oder so für den das potenziell auch viel Geld wäre. Also haben wir uns überlegt
na ja lass uns doch mal rausfinden. Ja haben uns entschieden wir antworten doch
mal und haben da gesagt: L: Also pass auf du solltest deine Server
echt nicht in der EU hosten, weil *Gelächter* die Polizeibehörden hier
arbeiten zusammen ja? Und diese Domain die du da hast die solltest du echt nicht mit
der Kreditkarte zahlen. *Linus lacht, viele Lachen*
Und wenn du dein SQL Map Angriffe versuch das doch mal über TOR wenigstens statt von
deinem anderen VServer aus, ja? Kam erstmals nichts. *einige lachen* und dann
hab ich gesagt: L: Pass auf in 24 Stunden
*sehr viele Lachen, Applaus*
geht unser Bericht ans LKA. Die Datenschutzmeldung haben wir ohnehin schon
gemacht, was soll schon noch kommen ja? Haben wir ihm Angebot gemacht haben
gesagt: L: Pass auf wenn du deine Daten löscht
bekommst du McDonald's Gutschein *viele lachen*
über 100€ und dann kam eben so, "Eh, meine offshore Server sind verschlüsselt!" L: Wie
so ... was für Offshore Server? was für Verschlüsselung?
"Ich will 2000€ sie haben 24 Stunden, sonst..." *einige lachen*
L: War wieder die große Sorge, was macht er denn jetzt noch ne haben wir gewartet
und dann kam dedos *einzelne Gelächter* dann haben wir cloudflare dazwischen
geschaltet und dann waren wir fertig ja *lachen*
weil wir haben natürlich aus zwei Gründen hier nicht bezahlt: 1. die Forderung war
viel zu gering, das Geld wär viel zu schnell weg gewesen und der wäre wieder
gekommen und hätte mehr gewollt und ja ist auch nichts weiter passiert. Aber
natürlich sind nicht alle Diskussionen oder alle solche Fälle, wenn man mit einem
verwirrten Einzeltäter zu tun hat, so glimpflich und so einfach.
Kai: Und vor all so lustig. Das hier ist einer, das ist so ein Einzeltäter, der hat
mutmaßlich muss ich an dieser Stelle sagen, weil er steht gerade erst vor
Gericht und ist noch nicht verurteilt und er bestreitet die Tat obwohl es ziemlich
gute Indizien gibt, die ihr gleich sehen werdet. Das ist so ein Einzeltäter der hat
in Finnland eine Firma erpresst wastamo die Therapiezentren betreibt,
psychiatrische Therapiezentren und hat sämtliche therapeutischen Unterlagen
gecybert kopiert. Der hat sich alle Protokolle aus Therapiesitzungen, alle
Diagnosen von vielen vielen finnischen Menschen von deren Server geholt und hat
anschließend gesagt "ich will nicht 2000€ sondern 40 Bitcoin". Das waren damals, ist
schon zwei Jahre her, ca 180 000€ und die Firma hat nicht reagiert. Die hat Tee
getrunken und daraufhin hat er den Patienten und Patientinnen eine Mail
geschickt die Daten hat er ja und hat gesagt ok, die Firma zahlt nicht dann will
ich von euch Geld 200€ in Bitcoin damit eure Therapieunterlagen nicht im Netz
veröffentlicht werden. Wer macht denn sowas? Hier ist so eine Selbstbeschreibung
von ihm, könnt ihr mal lesen wenn ihr Zeit habt. Ein lustiger junger Mann 25 ist er
inzwischen, er glaubt er ist ein großer Philanthrop und hat mit beim Umgang mit
Tieren schon viel übers Leben gelernt vor allem hat er früh schon Ärger gemacht, der
hat mit 15 seine erste Verurteilung kassiert, damals war er an Ddos Attacken
beteiligt und an einem Hobby namens swatting, ich weiß nicht ob schon mal
gehört habt. Das ist wenn man Leuten die Polizei nach Hause schickt ohne Grund,
kann sehr ärgerlich sein. Zurück zum Fall, der hat in Finnland für ziemliche
Aufregung gesorgt, das ist die damalige finnische Innenministerin, die fand diesen
data breach ein ziemlich shocking Act. Und die Formulierung ist interessant, weil es
mehr ein Fall von Data breach ist als ein Fall von hacking, denn und jetzt kommen
wir zu einem 2. wichtigen Punkt in unserem Talk. Die Betroffenen sind oft nicht so
ganz unschuldig an dem ganzen Problem. Der Server auf dem alle Therapieunterlagen von
allen finnischen Patienten und Patientin lagen war erstens eine
selbstgebaute mySQL Datenbank die hingt zweitens im Netz war drittens über Google
zu finden. Und nur durch ein Standardsystem Admin Passwort geschützt.
*Gemurmel* Auslieferungszustand sozusagen. Wer macht so was? Er, das ist der CEO dieser
Firma Vastaamo der war ganz betroffen darüber dass jemand seine Firma ruiniert
hat, die ist daraufhin nämlich pleite gegangen und wird bis heute verklagt
dafür. Der ist nicht betroffen darüber dass viele viele finnische Menschen
erpresst wurden, sondern darüber dass eine schöne Firma kaputt gegangen ist. Noch ein
Fakt zu den Patientendaten, den ich sehr interessant finde, sie waren nicht
anonymisiert und nicht verschlüsselt. Sollte man nicht machen wenn man so heikle
Gesundheitsdaten hat. Und die Firma hat auch Vorgaben des finnischen
Gesundheitssystems umgangen zur Datensicherung. Aber zurück zu unserem
Täter weil... Also er will 40 Bitcoin was tamamo zahlt nicht da haben wir ihn wieder
den kermit, daraufhin hat er eine schlaue Idee, er will um seinen Druck zu erhöhen,
weil das ist für den Erpressern immer sehr wichtig wie er auch eben schon gesehen
hat, er will den Druck erhöhen und sagt ok, wenn ihr nicht zahlt, dann liege ich
eben jeden Tag den ihr nicht zahlt liege ich 100 Patientenakten. Das Problem dabei
war, er hat es in ein finnischen imageboard gemacht, ich hoffe ich spreche das richtig
aus, yillilauter heißt es, das Problem dabei war, er hat so ein paar Informationen
seines Servers von dem er ausgeleakt hat mitgeleakt, *K lacht, Gemurmel* IP-Adressen und
solche Dinge. Worauf hin die Polizei dieser Spur folgen konnte und relativ
schnell dahinter kam dass da so ein Netzwerk von Servern existiert, dass Jemand
mit seiner Kreditkarte bezahlt hatte. *einzelne Applaus* Wird noch schöner. *Kai
lächelt* Das war nicht der einzige Hinweis auf ihn, den die Polizei fand also, wastamo
zaht nicht ja sind keine netten Leute. Der Mann reiste viel, er war er tauchte unter.
Also die Polizei hatte schon seinen Namen, sie ahnte wer es ist und suchte ihn in
Finnland und er ist abgehauen ins Ausland, hat aber die nicht sehr schlaue Idee
gehabt darüber im Internet zu posten.
*Gelächter*
Ja er hat wieder auf diesem imageboard JimmiLauter ein Foto gepostet wo er an der
französischen Küste es sich gut gehen lässt und sich diesen blödsiniges Wasser
ins Gesicht sprüht. Und hat dieses Foto da gepostet unter anderem von einem der
Server die im Zusammenhang mit der Tat standen, auch nicht so clever und noch
viel lustiger, dieses Foto war so gut, dass die Polizei einen Fingerabdruck nehmen
konnte. *Viele lachen, Applaus*
Die finische Polizei wusste jetzt also wo sie ihn suchen muss, in Frankreich.
Übrigens an dieser Stelle möchten wir einen kurzen Gruß an Starbug schicken, der
hat nämlich 2014 in einem Vortrag genau das prophezeit. Damals hat er von einem
Foto von Ursula von der Leihen, das in der Bundespressekonferenz aufgenommen worden
war den Daumenabdruck extrahiert und bewiesen dass das geht, danke Starbug! Die
finnische Polizei hat dir zugeschaut. *Applaus*
Nachdem wir uns jetzt mit ein paar Amateuren auseinandergesetzt haben die
eure Unternehmen ruinieren können oder sich selbst oder beides, wollen wir uns mal
kurz ein bisschen mit Profis auseinandersetzen. Und für mich ist das
ein bisschen ärgerlich, weil ich darüber in vielen Vorträgen seit nun mehr 7 Jahren
rede ja? Und zwar Ransomware es ist wirklich nichts Neues aber ich möchte kurz
eine kleine verkürze subjektive Geschichte der Ransomware erzählen. Ungefähr 2016
ging es los mit locky, das war so eine Ransomware fürs Privatkundengeschäft hat
irgendwie so local host sofort verschlüsselt und irgendwas im Bereich von
paar 100 Euro verlangt ja? Es kam dann später wannacry, das war im Prinzip auch so
eine local host randsomeware aber verbunden mit dem eternal blue Exploit hat
also im lokalen Netz nach SMB shares gecheckt und die auch noch mal infiziert
ja. Also ging so ein bisschen weiter rein. Irgendwann 2018 müsste ryuk damit
angefangen haben zu erkennen, dass das Backup der natürliche Feind der Ransomware
ist und hat sich darauf konzentriert in Richtung ad compromise zu gehen also
komplette Active Directory zu übernehmen und von dort aus in meisten Leute hängen
ja dummerweise ihren Backup Server ins Active Directory, was die schlechteste
Idee ist die man haben kann, und dann zerstören sie also erst die Backups und
rollen dann über eine Group Policy die Ransomware auf allen Hosts aus. Ja das fing
so ungefähr 2018 an und 2019 fing es an dass maze sich auch so ein bisschen mehr
auf fileshares spezifisch konzentriert hat und auf das Modell der Double extortion.
Double extortion könnt ihr euch so vorstellen dass man.. Ich erkläre es
gleich ne, weil ich möchte eigentlich noch mal kurz darauf reingehen wie katastrophal
es ist dass wir 2023 noch darüber reden ja? Seit 2019 mindestens ist das die
gleiche Masche, seit 2016 ist es ein Geschäftsmodell und es sollte einfach so
sein wie in jedem IT security lifeecycle, du hast eine Prävention wenn die
fehlschlägt hast du eine Detektion und wenn die fehschlägt hast eine Recovery.
Die meisten Leute gehen davon aus, dass es vielleicht nicht ganz so gut bei Ihnen
aussieht ne, haben eine Prävention vielleicht eine Detektion und die Recovery
eigentlich nicht ganz so gut. Aber wie es wirklich in der Realität für sie aussieht
so... und wenn man das mal nicht grafisch versinicht sondern so wie dann eine
Webseite aussieht, das wäre jetzt hier, ich glaube Blackcat Alfi die die vor 2 D
Wochen hochgegangen sind dann sieht das ungefähr so aus du hast eine Webseite
Forderung das ist ein Hidden Service und da wird dir dann erklärt wie du Bitcoin
kaufen kannst. Habe ich in Hirne hacken schon ausführlich erklärt. die Leute die
die Webseite sehen führen dann als nächstes ungefähr zu dieser Situation:
"Have you tried paing the ransome"? Weil das die einzige Möglichkeit
ist an die Dateien wieder ran zukommen. Wenn man das tut, sieht
eine Seite ungefähr so aus, wo es ein bisschen Instruktionen gibt wie man die
Dateien wiederherstellt und außerdem sind die Angreifer so nett, sie versprechen den
kompletten Bericht, wie sie reingekommen sind und ich denke natürlich als Security
Konz, alles klar ein ordentlicher Bericht ja cool so ein redteam Bericht da bin ich
mal gespannt. Das ist er ja und eine Standardantwort, die kommt in dem Moment wo
die Bitcoins gezahlt sind, erscheint die im Chat ja so quasi in in der gleichen
Zeit. Das heißt die ist hard codet in dieser Webseite drin und das bedeutet diese Web
diese Angreifer sind absolute onetrack Ponys die haben es hier mit meterpreter
gemacht, ja ihr könnt euch ungefähr vorstellen wie wenig idea du brauchst,
damit man meterpreter nicht erkennt ja und diese Angreifer sind onetrack Ponys und
du bist ihr Opfer. Wir alle kennen diesen klugen Satz, übrigens kann man immer sagen,
kann man immer sagen, nur nicht beim incident. Der kommt
*Lachen, Applaus*
also kommt nicht an, kommt nicht an. Ja learn from my fail ja? *Lachen*
Ich habe gerade gesagt wir sprechen über double extortion, double extortion
funktioniert so: die Angreifer haben gemerkt dass das Backup für sie ein
Problem ist und sagen Backup haben wir auch. *L lacht* Und das werden wir jetzt
veröffentlichen, ja? Das heißt sie erpressen dich einerseits oder sie
verlangen Lösegeld für deine Daten und erpressen dich gleichzeitig mit der
Veröffentlichung, haben also jetzt zwei Druckmittel gegen dich mit denen sie
versuchen Geld von dir zu bekommen. Und das Ganze passiert jetzt seit vielen
vielen Jahren und irgendwie Kai schreibt drüber, ich rede drüber, die Deutsche Bahn
hat schon mal auf ihren Anzeigetafeln gehabt, ja? *lachen* Aber niemand kümmert
sich drum und wenn du die Zeitung aufmachst ja, was was wird diskutiert?
Cyberwar... Was wäre wie fürchterlich wäre das Kai, wenn der Cyberwar jetzt käme?
Kai: Ja schrecklich oder? L: Das wäre doch total schlimm ja.
K: Ich mir wird langsam langweilig über Ransomeware zu schreiben ganz ehrlich weil es so
vorhersagbar ist. Und wenn man sich nur einen kurzen Moment vorstellen würde
überall in Deutschland würden maskierte Menschen in große und kleine Firmen
reinrennen ja? Würden die Computer nehmen und wieder rausrennen, was wäre in diesem
Land los? Also bei großen Firmen ja, Metro und wenzo, Continental und wen so alles
erwischt hat da rennen 100 Leute rein ja, reißen alle Rechner aus der Wand und
verschwinden, was wäre in diesem Land los wenn das jeden Tag dreimal passiert, ja?
Wir hätten den Kriegszustand den Cyberwar! Keinen interessiert, weil es digital
passiert und das verstehe ich immer nicht. L: Ich denke also der Cyberwar, den sich
vor dem sich alle fürchten übrigens ein absolut fürchterlicher Begriff, den ich
mir nicht zu eigen machen möchte, die Schrecken des Krieges sind unvergleichbar
mit ein paar Scharmützeln im Internet. Ja das ist klar vorweg zu sagen, aber wenn wir
uns davor fürchten digital angegriffen zu werden, dann könnten wir wahrscheinlich im
Moment irgendwann mal zu der Ansicht kommen, dass wir das falsche fürchten und
es jetzt schon schlimmer ist, als wir fürchten und wir müssen die bittere
Erkenntnis sehen, dass wir längst dagegen hätten etwas unternehmen können und wenn
irgendwann einmal der große Cyberwar losgeht, werden die Angreifer auch nicht
anders vorgehen als die Angreifer, die uns heute schon Millionen und Milliarden
Schäden verursachen. Deswegen gibt es in diesem Vortrag die einzig wichtige Folie,
die ich einmal kurz runterrattern möchte bevor wir uns wieder den Angreifern widmen
und den schönen Verhandlungen mit ihnen. Was ihr in einer solchen Situation
braucht, wenn ihr von Ransomware getroffen seid, ist ein priorisiertes
Wiederherstellungskonzept. Euer Problem ist nicht, dass alle Dateien weg sind, euer
Problem ist dass die Dateien von gestern und von vor zwei Wochen weg sind. Das
langzeitarchiv ist gar nicht das Problem, das Problem was diese Unternehmen haben
ist dass die Produktion oder der Geschäftsbetrieb unmittelbar sofort
stillsteht und das kostet sehr viel Geld. Was gibt's also für Best Practices für
eure Backups? Sie müssen unveränderbar sein Write only Backups, ein NutzerIn darf
nicht in der Lage sein ihre eigenen Backups zu löschen und es darf auch nicht
ein Admin oder eine Admina in der Lage sein diese Backups zu löschen zumindest
nicht mit den Rechten im AD vergeben werden. Es muss unabhängig sein auf einer
eigenen Infrastruktur, es muss isoliert sein, also komplett getrenntes identity
Access Management, keinesfalls im Active Directory. Wer den Backup Server
administriert, geht mit einer Tastatur und einem Bildschirm in den Serverraum und
steckt die da dran. Keine remote administration von dem Backup Server,
keine Verbindung in euer ad. Wir machen natürlich versionierte Backups, damit wir
auch frühere Zustände wiederherstellen können, wir machen verifizierte Backups.
Man könnte das ja einfach mal prüfen bevor man es braucht, ja! Wie viel Geld könnte
man da sparen, wenn man auch noch einen Fehler entdeckt, wir überwachen das Backup
also ist ein Backup erfolgt und ist der der Datenbestand auf dem fallserver
integer! Und vor allem machen wir unsere Backups risikobasiert also die
Wiederherstellung des Geschäftsmodells wird priorisiert. Die meisten Daten die
Ihr nicht bra.. Ihr Backup werdet ihr im akuten Fall nicht brauchen, ja wenn ihr
mal jemanden seht, der dann so ankommt sagt, wir haben alles auf Tape und du
denkst okay weißt du wie lange das dauert dieses Tape einzuspielen? *lächelt* Dann
verstehst du dass potentiell auch Leute diese Zahlungen in Erwägung ziehen die
Backups haben. Also bitte bitte bitte das sind alle Lehren die es hier zu ziehen
gibt, und das das was wir gleich über Verhandlungen berichten, das vergesst ich
am besten wieder ganz schnell, das war nur um euch hierher zu locken, weil uns Leute
immer danach fragen, wie denn so eine Verhandlung läuft. *einzelne Applaus*
K: Ich entschuldige mich für diesen Vortrag. *Applaus*
K: Es war etwas lehrerhaft aber ich glaube es musste sein. Kommen wir zurück zu den
lustigen Leuten. Wir sind ja durch eine Verkettung unwahrscheinlicher Zufälle
beide Psychologen mal gewesen und haben noch dazu dasselbe an delben Uni studiert,
wie wir später festgestellt haben, deswegen interessieren uns natürlich die
psychologischen Effekte dahinter und auch die Psyche der Täter, deswegen wollen wir
hier so ein paar vorstellen, damit ihr eine Vorstellung dafür kriegt, was sind das für
Leute eigentlich ja? Warum sind die kriminell, was tun die so. Und wir fangen
mit einem sehr Prominenten und schillernen Fall an, ihr seht da Maxim Jakubetz, das
ist ein junger Russe. Ich habe ihn hier sowas wie der Pate genannt, weil er ist
eine Ausnahme, er ist ein sehr klischeehafter krimineller Typ, wie ihr
gleich noch sehen werdet. Also nicht nur ja das ist ein Lamborghini Huracan, den er
da fährt, das ist seiner. Das Klischee geht noch viel weiter, wenn ihr das
Nummernschild betrachtet, falls ihr russisch könnt, da steht W o R nicht Bor,
sondern wor und wor übersetzt heißt Dieb *lächelt*. Seine ganze Gang fuhr mit
diesen Nummernschildern rum. *einzelne Gelächter*
Das konnte er problemlos tun, weil er hat die Tochter eines FSB Offiziers geheiratet
und muss in Russland nicht viel fürchten. Klischeehaft weil er so richtig Bling
Bling protzt mit seinem Reichtum und er und seine Freunde sowas machen. Das ist
die Lomonosof Universität mitten in Moskau, niemand stört sie dabei, wie
gesagt FSB Offizier. Polizei bestochen und so weiter. Diese Gang, die sind sowas wie
die Großväter der Ransomware, die nannten sich evil Cop, auch da waren sie relativ
eindeutig in ihrer Bezeichnung. *Gelächter*
Die haben schätzungsweise, es sind immer Schätzungen von Ermittlern, deswegen wer weiß
ob es stimmt und wie viel es wirklich war, die haben mit ihrem Banking Trojaner
namens Zeus oder süß ca 70 Millionen Dollar erpresst indem sie Online Banking
Informationen abgesaugt und dann ausgenutzt haben. Und ja die werden
gesucht, ne? Also das FBI hätte sie gern, sie sitzen in Russland, werden da auch
nicht wegfahren. Und sicher auch kein Urlaub wo anders machen als auf der Krim.
Das Interessante ist, weswegen wir sie hier drin haben, sie sind wirklich so was wie
die Großväter der Ransomware Modelle, die uns heute plagen. Also die Wirtschaft
mehrheitlich. Sie haben RAS erfunden Ransomware As a Service also sie haben
irgendwann aufgehört das Zeug selber einzusetzen, sie haben es vermietet
verkauft. Hier sind sie noch mal ein bisschen größer nette junge Leute. Sie
haben angefangen ihre kriminellen Fähigkeiten aufs Programmieren zu
beschränken und anschließend in kriminellen Forum ihre Tools anzubieten,
und wie sehen Leute aus die sowas dann weiter verkaufen? So
*Gelächter*
das ist Daniel Schukin, der wurde so noch nicht öffentlich genannt, der ist einer
der Menschen die davon lebt diese Vermietung zu organisieren,
höchstwahrscheinlich, muss ich an der Stelle sagen, er ist auch nicht
verurteilt, hat auch Russland bis jahrelang nicht verlassen. Das da ist in
Antalia, da glaubt er noch reisen zu können, da hat er diese Yacht gemietet mit
Freunden zusammen. Wer ist dieser Mensch? Auch ein junger Russe, etwas begabt was
die Technik angeht, lebt in Krasnodar, mag BMWs und Gucci und große Feste, zeigt sich
gern mit seiner Frau und mit Freunden den er das Essen bezahlt, der hat Webseiten
für Online Casinos und Crypto und anderen Schmuddelkram und der vermietet oder hat
vermietet REvil, ein weiteres großes Ransomware, Familienmodell. Und er scheint
nicht schlecht davon zu leben, hier ist er wieder, breites Lächeln. Das im Arm ist
seine Frau, die tut hier nichts zur Sache, deswegen ist sie so ein bisschen
ausgeblendet. Und leider wollte der nicht mit uns reden, ich weiß auch nicht warum,
wir haben es versucht, also ich habe viele E-Mails geschrieben, die er nie
beantwortet hat. Das Interessante an dieser Stelle, man beachte seine Uhr,
falls Sie die erkennen könnt, hier ist sie größer. Das ist eine vangard encrypto also
die Uhr allein kostet schon so 50 bis 70 000 € wenn man auf so hässliche Uhren
steht, und statt der 12 ist da ein QR-Code eingraviert, damit wirbt die Firma dass
man da seine Bitcoin Wallet eingravieren kann.
*Applaus, L, K und Alle lachen*
Die öffentliche die öffentliche das muss man sich auch erstmal leisten können.
Genau, wir konnten sie leider nicht entschlüsseln, also ich habe es versucht
aber wir konnten sie leider nicht lesen. Das FBI konnte es. *Lachen, Applaus*
Das FBI hat gerade erst noch gar nicht so lange her 317000 von ihnen beschlagnahmt,
ne also die Crypto sind genau in den Händen des FBI. Ich glaube übrigens FBI ist der
größte Halter von Bitcoins überhaupt weltweit, oder? *Viele lachen*
So er selbst wurde nicht gefasst aber junge Russen, die sich für unverwundbar
halten, das ist ein wichtiger Aspekt dabei, weil sie entweder Behörden
bestechen oder direkt in Verbindung stehen mit Behörden, die sind so relativ die
bilden so eine relativ kleine Gruppe der Hinterleute dieser ganzen Ransomware
Modelle, die sind aber nicht die große Masse, die sind wirklich Ausnahmen. Die
die die eigentliche Arbeit machen, die sehen anders aus. Das hier ist eine
Wohnung in einem relativ runtergekommenen Neubaublock in Harkiv in der Ukraine
Straße ist 23 August, wen es interessiert. Den Namen nenne ich hier nicht, weil dieser
Mensch nie verurteilt wurde und nicht mal angeklagt, der wurde laufen gelassen, ich
erzähle gleich warum. Deswegen hier nur sein Name in dem Internet unterwegs war
Jeep. Der erklärt sich auch gleich. Dieser Mann war für emotet unterwegs. Emotet
ebenfalls eine riesige Ransomware Familie ja, die weltweit tausende Opfer verursacht
hat. Das BKA nannte emotet einen der gefährlichsten Trojaner weltweit und BSI
Chef Arne Schönbum ex BSI Chef Arne Schönbum, falls sich noch jemand an ihn
erinnert, nannte es den König der Schadsoftware, aber und deswegen zeigen
wir es hier auch emotet machte Fehler. Die haben einen Server in Brasilien offen
gelassen, so dass dort Serverlocks rumlagen, die Ermittlungsbehörden finden
konnten und dank dieser Serverlocks hangelten Sie sich durch die gesamte
Infrastruktur dieser Gruppe und kamen zumindest nach Angaben des BKA zu dieser
Wohnung, dort laufen alle Fäden zusammen und deswegen gab's da 2021 diese
Wohnungsdurchsuchung, polizia steht da auf der Jacke, also die ukrainische Polizei
bricht da gerade ein, BKA Beamte waren dabei, ja also da liefen alle Fäden von
emotet zusammen hier. L: Sieht aus wie bei mir.
*viele lachen* K: Okay du hast auch Flohmarkt zeug? *lächelt*
K: Das ist der Schreibtisch dieses Mannes und das die Wohnung eines damals 47 Jahre
alten Ukrainers, seines Zeichens Systemadministrator für Linux und der
wartet Server für kleine Firmen. Und er tut das für kleines Geld. Und der hat mit
uns geredet, der war sehr nett und sagte also das auf diesen Backends gefährliche
trojaner waren, ich wusste es nicht, er hat sich nicht dafür interessiert
wahrscheinlich. Er hat 12 Server von emotet gewartet und nahm dafür $40 pro
Server und Monat $480. Ich finde es interessant, weil auch so gigantische
Erpressungsmodelle ja, wir reden über gigantische Erpessungsmodelle die weltweit
funktionieren, basieren auf solcher Infrastruktur. Nach Auskunft der Polizei
die da in der Wohnung war, da sieht man sie noch mal, war ein Großteil davon vom
Flohmarkt, Jahre alt. Übrigens könnt ihr Kyrillisch lesen? Da steht Department
KeeberPolitsii, finde ich toll, falls irgendjemand hiermer so Aufkleber macht,
ich hätte gern ein paar davon. *Gelächter*
L: Kommen wir zurück zu einer anderen Ransomware Gang, ich habe ja gesagt, dass
ich öfter mal die Freude habe mich mit denen auseinandersetzen zu dürfen,
hauptsächlich deshalb weil Leute denken ich könnte ihn Bitcoin organisieren, ich
habe keine Ahnung wie auf die Idee kommen aber irgendwie klappt's dann auch. So
sieht dann so eine Ransom Note aus, die liegt auf deinem Desktop und angegeben
wird halt ein Tor hinden Service und in diesem Fall ein Login und wenn man da
drauf klickt kommt halt so ein Chat, ja ist etwas andere Gang jetzt in diesem
Fall, mal Screenshot von blackbuster rausgesucht und die sagen also sie wollen
Geld haben. Und jetzt beginnt der Moment für den sich so viele Leute interessieren,
ich werde also immer nach Vorträgen gefragt, dass ich genau das mal
beschreiben soll und wie ich gerade schon sagte ich beschreibe das nicht ohne vorher
zu sagen, wie man sich davor schützen kann. Weil das ist die Situation in der
man wirklich nicht sein möchte, ja. Der Chat geht natürlich ein bisschen länger,
ich habe mich jetzt mal so inhaltlich grob zusammengefasst. Wir veröffentlichen in 10
Tagen, wir haben einen Decrypter, wir wollen in diesem Beispiel 100 Millionen,
ja. Hab jetzt einfach mal 100 genommen, damit ihr ungefähr die Relationen sieht,
die die Verhandlung betreffen. Und man sagt natürlich erstmals, Junge, Beweis du
doch bitte erstmal dass du die Dateien hast ja, also vorher stellt man sich
erstmal so ein bisschen doof, es ist auf jeden Fall klug irgendwie so ein paar doofe
Sachen zu fragen ne, was ist BTC irgendwie sowas um den irgendwie zu vermitteln, dass
man relativ dumm ist, ja? Man sagt dann so, ok, aber Beweis doch mal bitte dass Du
die Dateien hast, dann sagen die kein Thema, hier ist die Liste ja und dann
kriegt man so ein Output von tree oder find oder was auch immer ja? Und dann
sagen sie such dir drei Dateien aus, die schicken wir dir ja, das heißt sie geben
dir die komplette Liste, du kannst dir drei aussuchen, die kriegst du zurück und
damit beweisen sie dass du dass sie diese dass Sie alle Dateien haben ne. Hier ist
deine x Doc X Y xlsx und zxe, das Gute ist die die Liste der Dateien kriegst du für
umme ja und die brauchst du um den Schaden abzuschätzen, der beispielsweise bei einer
Veröffentlichung droht, potenziell aber z.B auch für die dsgvo Meldung also diese
die Liste an Dateien gibt's kostenlos und in vielen Fällen selbst, wenn man gar
keine Absicht hat zu bezahlen, lohnt es sich die sich zu organisieren ja?
Kostenlose Leistung, die man hier kriegt. *viele lachen*
Und dann sagt man sowas wie du weißt du, wir stellen gerade von Tapes wieder her
das dauert zwar ein bisschen, aber eigentlich sind wir hier guter Dinge. Dann
sagen die, stell dir mal vor wenn wir das alles veröffentlichen und man sagt so ja
eigentlich ist da jetzt nichts großartig kritisches dabei! Wir verkaufen das an die
Konkurrenz! Auch immer ein sehr spannender Fall, ja, wenn man diese Gespräche führt
ja und die Betroffen Unternehmen sagen, oh mein Gott die verkauft das an die
Konkurrenz, oh mein Gott die Verkauf das an die Konkurrenz, wenn man sagt ok, pass
auf, ich mache euch ein Angebot, ich gebe euch die Daten von der Konkurenz. Das
werden wir nie machen! Ja okay aber eure Konkurrenz haltet ihr für so verkommen
dass Sie von irgendwelchen Gangstern für Bitcoin eure Daten kaufen *gelächter*?
Also sagt man, kannst du gern probieren wir gehen eigentlich nicht davon aus dass
sie dir da sonderlich viel Geld für geben ja? Außerdem muss man tatsächlich sehr
traurigerweise sagen die Veröffentlichung bringt meist einen sehr geringen Schaden
für dich selber. Weiß auch der Gründer und CE von Motel One, Dieter Müller der sich
nachdem dem Motel One gebreached wurde und alle Kundendaten ins Internet gegangen
sind, geweigert hat mit den Leuten zu verhandeln und eventuell diesen Schaden
von den Kunden abzuwenden ja? Der Mann hat geringe Ansprüche an sich selbst und hohe
Ansprüche an den Staat, denn an der gesamten Misere ja dass alle Motel One
Kunden jetzt mit übernachtungsdaten und allem im Internet stehen, ist natürlich
der Staat schuld, denn der Staat hat noch keinen Weg gefunden seiner staatlichen
Hoheitsaufgabe gerecht zu werden und seine Bürger und Unternehmen vor kriminellen
digitalen Angriffen zu schützen. *Einzelne Applaus*
Kann natürlich jetzt auch nicht seine Schuld sein. Wie ich habe schon gesagt,
der Mann hat geringe Ansprüche an sich selbst, hohe Ansprüche an den Staat,
Coronazeiten waren irgendwo im Bereich 100 Millionen Coronahilfen, die der
eingestrichen hat, dadurch hat Motel One am Ende seine Geschäftsergebnisse
signifikant verbessern können und er hat noch ein paar Interviews gegeben, dass das
eine Frechheit wäre und zu wenig. *Gelächter*
Aber tatsächlich mal ne, man muss tatsächlich sagen Motel One hat de facto
keinen Schaden dadurch, dass diese Daten veröffentlicht wurden. Irgendwann ich
glaube es war man sieht es im Bild 2021 wurde extensure gebridged von Lockbit und
das vll natürlich sehr interessant, also haben wir auf dem Lockbit Block so den
Countdown geguckt und so ne und dann wurden irgendwann die Daten von extenser
veröffentlichicht da hat man sich ja dann doch mal für interessiert, das war aber
total so ein Einzeldownload ja, du konntest jede Datei einzeln, das war total
unsortiert umständlich zeitaufwendig ja und die wurden auch immer wieder offline
genommen und dann wurde die Deadline verlängert wann die released werden und
irgendwie sind sie jetzt nicht mehr zu finden. Ich denke warum die Angreifer so
und nicht anders veröffentlichen ist ganz klar, in dem Moment wo sie vollständig
veröffentlichen, haben Sie Ihr Kind mit dem Bade ausgegossen, es wird Niemand mehr
bezahlen. Wenn sie aber so scheibchenweise veröffentlichen, können sie potenziell
noch weiter erpressen und dich doch überzeugen denen etwas Geld zu geben. Denn
für sie ist das ja eine Alles oder Nichts Situation und diese Dateien zu
veröffentlichen, dann haben sie halt statt irgendwie potenziell Millionen einfach nur
ein mahnendes Beispiel für den nächsten und ein Fall, wo ich wieder erzählen kann,
eigentlich kein Schaden entstanden. Wir haben auch darüber gesprochen, das nennt
man dann also die Angreifer wollen Druck erhöhen ja, sie machen inzwischen auch mal
die Meldung an an die Behörden für dich ja, auch da natürlich einfach um den Druck
zu erhöhen, weil Druck ist alles was die haben, oder sie belästigen die Leute die
nicht zahlen ja, rufen dann z.B dort an oder lassen dort anrufen oder erpressen
eben die Kunden um den rufschaden irgendwie zu maximieren. Also die Gruppen
arbeiten daran diesen Rufschaden zu vergrößern. Ja in unserem Beispiel sagen
wir mal, wir würden jetzt irgendwie in Richtung einer Zahlung uns orientieren,
dann sagen wir Bruder, wie sollen wir dir überhaupt vertrauen? Und dann sagt er, mein
Freund wir sind die CyberSwan Gruppe, google uns, wir haben fünf Sterne auf yelp!
*viele lachen* Und es ist es ist natürlich wirklich wichtig für diese Mechanik der
Verhandlung zu wissen, die müssen auch ihren Ruf schützen. Wenn die euch
betrügen, dann wird das ja bekannt und dann zahlt ihnen niemand mehr. Das heißt
Vertrauen ist für die eine entscheidende Sache ja? Außerdem haben die auch den
ganzen Rest des Internets noch vor sich, dass sie jetzt ein zweites Mal dich
erpressen ist eher unwahrscheinlich. Aber dann sagst du so was wie ja boah das mit
den Tapes kennt sie ja dauert ey... pass auf wir zahlen dir 25 Dann kommen wir wollen
100 und du hast noch 7 Tage danach wird es teurer und dann denkst das ist natürlich
jetzt auch wieder dieses Druck ne? Wir wollen mehr Geld später und dann sagst du
ja pass auf Alter in 7 Tagen sind wir fertig, du kannst mir hier maximal 50
Millionen sparen, das muss aber auch irgendwie businesscase für mich sein ich
zahle dir 40 ja? Dann sagen die wir wollen 70, das unser letztes Angebot, es gilt nur
24 Stunden und dann sagst du sowas wie, ey Junge, je länger das hier dauert, umso
weniger ist deine Dienstleistung für mich Wert, ich stell ja hier gerade von Tapes
wieder her. Und das ist der entscheidende Punkt in diesen Verhandlung für die
Angreifer geht es um alles oder nichts, also die stehen vor einer Situation dass
sie entweder von dir Geld bekommen oder gar nichts und dann haben Sie noch die
Kosten dass sie deine Daten veröffentlichen müssen und genau da musst
du diesem Druck wiederstehen, der zeitliche Druck wird von denen nur deshalb
angebracht, weil sie also weil sie wissen, je länger Du nicht zahlst desto
unwahrscheinlicher zahlst du. Insofern ist das durchaus sinnvoll in einer solchen
Situation , wenn du die Zeit hast, auch tatsächlich auf Zeit zu spielen, weil die
wissen, je länger der Spaß hier geht, umso unwahrscheinlicher zahlst du. Na gut dann
kommt irgendwie so was, ja 60 Millionen weil Du es bist, letzte Preis ja? *lachen* Und dann sagst
du, das ist der Moment den die Kunden meistens nicht wollen, ja? Dann sagst mal
ok tut mir leid, ich erkläre die Behandlung für gescheitert, hätte hier eine Win-Win
Situation werden können, aber na ja vielleicht beim nächsten Mal.
*viele lachen*
Und dann kommt, ok lass mich mal mit dem Boss reden.
*viele lachen*
Du verhandelst jetzt mit dem Level One Customer Support! Und der hat klare
Grenzen und erst wenn der mit jemand anders reden muss über den Deal, den er dir
machen kann, merkst du dass du vielleicht langsam in einen Bereich kommst der
vielleicht für dich auch interessant ist ja? Natürlich kann auch das ein Spiel sein
aber in diesem Fall werdet ihr gleich sehen war es nicht, es gibt einen Boss.
Dann kommt eben so was her: ok 50% allerletzte Preis ja und dann sagst du
sowas eh, woher weiß ich dass du die Datei überhaupt wieder herstellen kannst? Ja
auch das erst ganz am Ende machen, weil das ja ein Interesse überhaupt
signalisiert. Also die Prüfung, dass Sie Dateien wiederherstellen können. Jede
Ransomware Gang bietet dafür an, schick mir zwei Dateien mein Freund, entschlüssel
ich dir, kriegst du zurück, schickst Du ja hier ist A encrypted und B encrypted und
dann schickt er dir die entschlüsselten Dateien zurück. Das ist ein sehr wichtiger
Schritt den man keinesfalls vergessen darf! Du musst dich vergewissern, dass
dein Freund die Dienstleistung auch wirklich erbringen kann, sonst riskierst
du mit diesen Leuten hier zu tun zu haben. Das war wannacry, ihr erinnert euch, die
ganze Ransomware hat in der Welt nur drei Bitcoin Adressen angegeben und, als ich die
doppelten Screenshots gesehen habe mit dem gleichen Bitcoin Wallet, war mir auch
sofort klar, die werden die Zahlung nicht zuordnen können, hier besteht keine
Absicht der Wiederherstellung. Und war ja auch bei Wannacry nicht so. Also wichtig
sicherstellen und erst spät sicherstellen, weil damit signalisierst du überhaupt
Interesse an der ernsthaftes Interesse an der Wiederherstellung. Und dann kommen die
klugen Leute und sagen, hey Vorsicht wenn du zahlst, dann hacken sie dich direkt
wieder. Und das ist aber Quatsch, übrigens hier das ist also auf dem Sixpack steht
Mythos auf dem nächsten Sixpack steht Realität, aber dol i kann nicht so gut
schreiben wie ich. Die Realität ist *lächeln*
der Rest des Internets wartet auf Sie, die haben überhaupt gar keinen Grund noch mal
dich zu hacken, die geben auch übrigens Garantien dass diese Ransomware Gang dich
nicht noch mal hackt. Es gibt aber genug Andere! Also früher oder später musst du
dich schützen und ich kenne mehrere Fälle in den die CEOs oder der Vorstand, oder
sonst was nach der Zahlung gesagt hat, jetzt haben wir es hinter uns lehnt euch
zurück, fahrt die Systeme wieder hoch, alles rein ins ad und den MySQL Server in
die Cloud und gebt ihm. Und kurze Zeit darauf war das Geschrei groß, ja? Also ihr
kommt sowieso nicht drum herum euch besser zu schützen, am besten macht ihr das bevor
ihr den Case habt, aber egal ob du zahlst oder nicht, die Anderen werden kommen, ja?
Du hältst dir eine von 100 Gangs vom Leib und dummerweise machen die nicht so eine
Garantie wie Schutzgeld, dass sie sagen pass auf wenn die anderen Gangs kommen
dann prügeln wir die raus oder so. *lachen*
Na ja dann sagen Sie, hier ist unser unsere Bitcoin Wallet ja die nehmen
üblicherweise eine frische, brauchen sie auch damit sie erkennen, dass die Zahlung
von dir ist. Du nimmst üblicherweise eine frische und schickst mal ein satoschi
rüber, ja? Achtung, das ist interessanter Moment, weil dann sehen die wie viel Geld
auf deinem Wallet liegt. Ja in dem Moment beweist du, dass du über ein über eine
Summe verfügst. Es kann also durchaus auch interessant sein an der Stelle vielleicht
doch nur 40 da liegen zu haben statt der 50 und zu sagen hey Scheiße, Freitagabend,
du weißt wie das ist, neh, ich habe jetzt echt nicht... *viele lachen*
Dann sagen sie, ist angekommen und dann schickst du den Rest und jetzt kommt sehr
ein sehr wichtiger Hinweis, bezahle nur, wenn du ein Business Case hast. Du hast
meistens keinen, das Einzige, was hier eine Rolle spielt ist, dass deine
Wiederherstellung potentiell schneller geht. Alle sonstigen Folgekosten, die
Systeme härten, die Systeme desinfizieren, Dinge maximal neu aufbauen, eine komplette
Renovierung deiner Infrastruktur, die Kosten hast Du ohnehin, die hast du auch
jetzt schon vor dir, weil du es e machen musst entweder bevor du gebreacht wurdest
oder danach. Das heißt du musst diesen Case wirklich sehr genau durchrechnen
bevor du in Erwägung ziehst eine solche Zahlung vorzunehmen. Wenn du es dann
gemacht hast, kommt sowas wie Yow, wir haben deine Dateien gelöscht, hier ist das
deletion Lock, also das Output von rm-RF. Das sieht dann so aus, und *Linus lächelt*
ich meine, die haben sogar ihre local language auf Russisch eingestellt, ja?
Also man sieht hier unten die Translation für gelöscht und Verzeichnis gelöscht also
ein Output von rm-RF. Und dann sagen Sie yoh, wir bereiten jetzt dein Decrypter
vor. *einzelne Gelächter*
Und man denkt so, bei den anderen geht das eigentlich immer relativ schnell. *Linus
lächelt* So nach einer Stunde fragt man mal nach und dann kommt, eh ich kann den
Typen nicht erreichen, hab mal kurz Geduld bitte *Lachen* und dann kann das
manchmal ein bisschen dauern und dann kommt hey, hier ist der Decrypter,
sorry der Typ war draußen einen saufen, Ja? *video läufzt, alle lachen*
Und an dieser Stelle zeigt sich, du würdest dem Level One Support auch keinen
Schlüssel geben, der Millionen wert ist, weil dann machen sie side Deals ja? Dann
verkaufen die den Schlüssel über ihre eigene Konten. Klüger hat das LV gemacht,
blackcat be denen war das so, die haben quasi also auf Ihrem Server war das
Bitcoin Wallet direkt angegeben und hat das immer gepollt, ja? Und das heißt auch
die Veröffentlichung von den decryption Tools und deinem Pentestbericht erfolgte
automatisch, so haben die den Key von den von ihren Verhandlern weggehalten. Bei
dieser Gang die ich hier im Beispiel hatte war es eben so, dass sie manuelle
Interaktion oder oder direkte Interaktion mit ihrem Chef brauchten und die hatten
halt echt nicht dessen die Nummer, nah? Die können halt auch nur mit dem über
diesen Chat kommunizieren, aber ich bin ehrlich die Stunden bis wir den Decrypter
hatten waren etwas weniger entspannt, auch wenn ich mir relativ sicher war, dass sie
die Zahlung machen würden. Und Kai kann noch mal ein bisschen was darüber reden,
wie es dann auf der anderen Seite aussieht.
Kai: Wir machen noch mal ein kleinen Exkurs zu den Leuten, die auf der anderen
Seite sitzen. Das interessante an diesen Modellen ist, wir kommen auch gleich noch
zum Level 1 Support. Das interessante an diesen Modellen ist dass sehr viel
outgesourced ist, wie in der Wirtschaft auch an sogenannte Affiliates, da ist
Einer. Das sind Menschen die sozusagen auf eigene Rechnung für irgendeine Ransomware
Familie arbeiten und ihre Beute teilen, die Deals sind meist 75% für diese
Menschen, 25% oder 20% für die Gäng dahinter, die Vermieter den wir vorhin
gesehen haben. Das hier ist Sebastian Vahoung, ein Kanadier inzwischen
verurteilt. Der hat für Networker gearbeitet, wieder eine sehr große Familie
und war der eifrigste Affiliate von Networker. Der hat dutzende Angriffe
gefahren und allein er hat 1400 Bitcoin einge- sammelt mit diesen Erpressungen, damals
27 Millionen Dollar. Jetzt fragt man sich, wer ist so ein Mensch, ja? Dem ging es gar
nicht so schlecht, das war sein Häuschen schon vorher, der wohnte da. In der Nähe
von Ottawa war nettes kleines Häuschen, sieht ganz gemütlich aus, der war
Computertechniker Universität Ottawa, aber der war so der Typ Kleinkrimineller der
irgendwie so ein bisschen mehr will vom Leben als das was ihm sein dayjob bietet.
Der ist auch schon mal mit Drogendelikten aufgefallen, hat 123 kg Marijana vertickt
*viele Lachen*
Kleinkram. Und ja das war dann beim Verhör, da war er nicht mehr so... Ich
fand den Fall sehr interessant, ich habe ihn ein bisschen zugeguckt man konnte
durch dann Corona konnte man der Gerichtsverhandlung im Internet folgen,
wenn man so ein Link sich geholt hat von den Behörden dort und ein stiller
freundlicher nicht blöder Mensch wie gesagt, ich glaube er wollte ein bisschen
mehr vom Leben, das wird er jetzt nicht mehr kriegen. Und er ist auch deswegen ist
er hier in der Sammlung ein Beispiel dafür dass die Täter Fehler machen. Auch das
finde ich wichtig, die sind nicht unfehlbar. In dem Fall hier war das FBI in
der Lage, wieder das FBI, die sind sehr aktiv seit einigen Jahren. Die Stufen
Ransomware auf der Höhe von Terror ein in was ihre Ermittlung angeht inzwischen, nur
so zur Wichtigkeit, das FBI hat den Server geknackt auf dem die Networker Leute mit
ihren Affiliates geredet haben, neh die müssen ja reden miteinander, ich war hier,
ich war da und diese Affiliates die müssen belegen dass sie irgendwo eingebrochen
sind, dazu laden Sie Screenshots hoch der kopierten Daten, und in einem dieser
Screenshots waren Metadaten. Screenshot 2.png enthielt Metadaten und in Metadaten
stand Sebastian Vahoun. Passiert den besten von uns. Außerdem nutzte er für die
Kommunikation mit diesem Server zwar eine anonyme E-Mail Adresse, war aber zu faul
die auch anonym abzurufen, sondern sendete sich die E-Mails weiter an seine private
Mailadresse. *viele Lachen*.
Über die auch seine amazon Bestellungen liefen, so dass das FBI sofort auch seiner
Adresse hatte. *einzelnes Lachen*
Passiert im besten. Ja also die müssen miteinander reden, ganz kurz, die brauchen
irgendeine Infrastruktur um zu kommunizieren und das meist der Ort, wo sie
angegriffen werden von Ermittlern. Übrigens Sebastian Vahoug sitzt jetzt für,
20 Jahre in den USA, danach dann noch drei Jahre Bewährung und ich glaube dann muss
er noch die Freiheitsstrafe absetzen, die er in Kanada noch egal länger. So, also
diese Leute bilden Banden, die Sourcen aus, die sind relativ organisiert und es
sind ganz normale Menschen, ja, keine Götter, keine Superhacker. Das sind
normale Menschen die Fehler machen. Und diese Arbeitsteilung dieser Band geht
sogar noch viel weiter, hier seht ihr die unterste Ebene, hier seht ihr den Level 1
Support. Das ist Alla Witte, eine, ich bedauere sie fast, inzwischen. Eine Frau,
die in der Sowjetunion geboren wurde, sie hat dort mal Programmiererin für
Funktechnik gelernt, sie ist inzwischen 57 Jahre alt, hat ein bisschen Pech gehabt im
Leben, verwitwet, hat mit Scientology zu tun egal. Jedenfalls sie schlug sich so
durch mit dem Programmieren von Websites, lebte in Surinam zu dem Zeitpunkt und
programmierte auch für kleine Unternehmen so ein bisschen HTML und solche Dinge und
dann bekam sie ein Jobangebot 2017 von einer russischen Softwarefirma, so sagt
sie es. Ja mit der konnten wir auch reden. Dann gab's so ein Einstellungstest online,
da musste sie so ein paar technische Fragen beantworten, den hat sie bestanden
und dann hat man ihren Job angeboten, hat gesagt, pass auf 800 € im Monat kannst du
von uns haben und dafür machst du hier so Entwicklertätigkeiten. Kam ein kleines
Team mit neuen Leuten und die kannten sich alle nur über jabber. Und ihr Job war es
dann, und da fingen sie dann doch an drüber nachzudenken, ob das das richtige
ist, sowas zu programmieren, nämlich Webseiten mit der Benutzeroberfläche auf
der dann steht "ihr Computer ist infiziert". *Kai lächelt* Entschuldigung
das wieder eine von dolies Erfindung, aber ich fand sie sehr hübsch. Und die
Softwarefma, für die sie dort gearbeitet hat war Conti, eine der größten und
organisiertesten Ransomware Banden die die Welt bislang gesehen hat, oder die größte
und organisierteste, und ja Alla Witte war wie gesagt relativ unbedarft am Anfang,
das glaube ich ihr sogar, weil bei Jabber hat sie sich noch angemeldet mit ihrem
echten Namen Alla Witte, also den Jabber Server wo die Gang miteinander
kommunizierte und der dann später geleaked wurde durch ein ROG Mitglied dieser Bande,
so dass ihr Name relativ schnell klar war deswegen, war sie auch die erste die
Probleme bekam. Also sie war in Surinam und eines Tages stand die Polizei von
Surinam vor ihrer Tür und sagte, sorry wir nehmen Sie jetzt mit, ihr Visum ist
abgelaufen und ihre Computer und so sammeln wir auch alles ein und wir
schicken sie zurück nach Lettland, wo sie herkam. Sie sind hier nicht mehr
erwünscht, ja. Der Flug landete dann seltsamerweise in Miami zwischen, da stand
dann wieder das FBI und nahm sie mit in ein Gefängnis nach Ohio. Und da blieb sie
relativ lange, weil das FBI glaubte okay wir haben hier sozusagen die Hacker Queen,
die kann uns was über Conti erzählen, das war vor dem leack. Nah, das FBI hat sie
vorer gefunden und hoffte, sie kann ihn viel verraten, aber sie kannte echt nur
die neun Leute aus ihrem Team, das waren alles kleine freischaffende
Softwareentwickler, System Admins , die sich ein bisschen was dazu verdienen
wollten. Sie konnte ihnen nicht viel sagen, deswegen saß sie zwei Jahre dort im
Knast ohne Prozess. Und es passiert einfach nichts, in der Zwischenzeit kam
der Conti Leak und alle Welter erfuhr über diese Gang. Inzwischen ist sie
freigelassen worden aus den USA, ist wieder zurück jetzt wieder in Lettland in
Riga. Die meisten Vorwürfe wurden fallen gelassen, außer einer Verabredung zum
Computerbetrug, aber das also es reichtte nicht um sie weiter festzuhalten, wie
gesagt sie lebt in Riga, sie tut mir wirklich etwas leid. Inzwischen geht sie
putzen. Das ist, ihr seht hier so die Struktur, von Conti das ist die unterste
Ebene dieser wirklich organisierten Gang und wir reden hier über die die Profis der
Branche. Die hatten alles, die hatten Chefs, die sich darum kümmerten Büros
anzumieten in denen die Leute wirklich von 8 bis 5 gearbeitet haben, ja, die kamen
da. Die wurden über Foren angeheuert und für day Jobs und die waren wie eine Firma
organisiert. Ich zeige euch gleich noch zwei Mitglieder davon aus dem
Führungsebene. Bis heute sind nicht alle identifiziert, vor Allen nicht der Kopf
der Bande Stern, der ist nur unter diesem Händel bekannt, ich soweit ich weiß weiß
bis heute niemand wer das ist, das ist ein Zeichen dafür dass es schon auch sehr
fähige Kriminelle in diesem Bereich gibt aber es sind Wenige. Und wenn ihr so wie
Linus mit diesen Leuten zu tun habt, habt ihr nicht mit diesen Leuten zu tun
niemals, also die machen sich die Finger da nicht mehr mit schmutzig, sondern es
ist wie gesagt der Level 1 Support, aber es ist auch ein Beispiel, ja diese Banden
machen Fehler, aber ja Sie können auch gar nicht so schlecht sein, wenn man Pech hat.
Noch ein paar Gesichter, hier ist einer der Manager Maxim Galochkin, hat ein paar
Softwarefirmen, ist pleite gegangen, kommt aus Abakan in Russland, lebt da glaube ich
noch immer, soweit zum seine Social Media Profile das hergeben. Der war zuständig
dafür, dass also die haben alle Virencanner, die es auf dem Markt gab,
sich so besorgt und er musste testen ob ihre Schadsoftware da durchgeht idR
Evasion heißt das habe ich mir sagen... L: idR Evasion, ja.
K: Der baut auch den Cryptolocker, also die Daten verschlüsselt, also sein Team.
Er war Teamleiter und Manager, ja Maxim wandert gern, der hält nichts von
Covidimpfung, ist ein großer Putin Fan und Verteidiger des Ukrainekrieges oder das
Kriegs des Angriffs auf gegen die Ukraine und Anhänger irgendeines komischen
Gurus. Letztlich ein ganz normaler Mensch. *viele Lachen*
ist in Abwesenheit angeklagt in den USA, weil er Teil von Conti sein soll. Hier ist
noch einer eine Ebene tiefer ein Teamleiter Oleg Kugarov aus Tolyati bei
Samara, 50 Jahre alt. Ich finde den interessant, den man, weil also er nennt
sich selber reverse engineer und male Analyst und scheint schon länger in der
Branche zu sein, also länger als Andere, viele Andere kommen wirklich aus legalen
Bereichen und suchen verzweifelt einen Job. Viele können auch kein Englisch und
finden in englischsprachigen Industrien da ja keinen Job, also man könnte ja auch
remote arbeiten und finden kein Job, sie können halt nur russisch und gehen dann zu
einer russischen Softwarefirma. Ja Oleg verkauft z.B Zero days im Darknet,
zumindest habe ich so ein paar Hinweise darauf gefunden und, was ich auch
interessant finde, der hat sich schon 2014 bei hacking Team beworben. Hacking Team
war hier beim Kongress schon ein zwei mal Thema. Das war eine recht berüchtigte
Firma die Späsoftware herstellte und von Finineas Fischer aufgebohrt und aus dem
Wasser geblasen wurde, und für Conti hat er Leute angeworben und geführt als
Teamleiter ja. Er grillt gern, er hat ein shibaainu, Namen Simba, ein kleines
Häuschen, man sieht ih da in seiner Straße. Wie ernst diese Gangs sind, sieht
man unter anderem daran, dass die USA bereits sind 10 Millionen Dollar zu zahlen
für Hinweise, auf die noch nicht bekannten Mitglieder. Das ist schon ein Haufen Geld
und es heißt, dass diese Branche bis heute, die ganze Welt in Atem hält und kaum einen
interessiert es. Und wie gesagt ich finde das immer noch seltsam. Noch dazu also
Conti hat sich nicht hat sich selber zerlegt, neh. Das war nicht Ermittler, das
hat nicht geholfen Alla Witte da einzusperren, sondern die haben sich
selber ruiniert. Und ja Linus wird jetzt noch mal einen kurzen Vortrag über die
Lehren daraus halten. *Linus lacht*
L: Also was ich noch mal sehr wichtig finde, ist, ihr seht die leben dann
verhältnismäßig entspannt ja? Also wenn man überlegt dass Conti war mal, blackhead
wurden irgendwie so um die also üblicherweise werden immer so Einnahmen im
im 100 Millionen Bereich kriegen die hin bis sie bis sie hochgehen ja. So ungefähr
das ist so die Region, wenn man sich das anschaut. Und so viel Geld scheinen die
Leute an der Spitze ja auch nicht zu haben, ich denke Kriminalität lohnt sich
vor allem wegen der Nebenkosten nicht, ja? Also du hast, wenn du wenn dieses Geld
übergeht auf das auf das Wallet geht, dauert wenige Minuten bis es von dort
verteilt wird auf viele tausend einzelne wallets, also findet so ein
Geldwäschevorgang statt. Früher gerne von Tornado Cash gemacht, heute vermutlich von
Anderen, weil der Betreiber von Tornado Cash ja im Knast sitzt und keine Zugriff
mehr auf seine Systeme hat. Die müssen sich in ihrer Interaktion sicher sein, dass
es Menschen gibt die lieber 10 Millionen haben können, wenn sie verraten wer Sie
sind, und das führt dazu, dass du auch echt extrem, sag ich mal dein
Freundeskreis wird sehr teuer, ja, weil du sicherstellen musst, dass jeder von denen
keinen Grund findet sich die 10 Millionen zu holen. Also es ist eigentlich insgesamt
dann doch glaube ich kein Lebensstil der sich empfiehlt, das nur noch mal am Rande.
Kommen wir zum Fazit. Wir wissen, wie die Angreifer vorgehen und wie man sich
schützt von Conti. Wir haben es nicht in dem Leak, die haben ein Manual die haben
halt Probleme gehabt Nachwuchs zu finden, haben sie ein Buch geschrieben so ein
kleines PDF, wie man jetzt musst du da klicken und dann musst Du hier ne Blatt
hauen und dann guckst du da und dann kürzester Weg zum Domänenadmin, da musst
du das machen, da musst Du hier Mimicuts und das ist alles drin, ja? Die Angreifer,
also du brauchst sowieso ein Wiederherstellungskonzept, solange wir den
dieses diesen Sumpf nicht trocken legen, dass wir gezwungen sind zu zahlen, werden
die das weiter tun, da hilft auch kein Verbot der Zahlungen. Die Angreifer
verlieren aber auch alles, wenn Du nicht zahlst. Also wenn du in der unglücklichen
Situation bist, in der du niemals sein willst, stell ihn glaubhaft in Aussicht,
dass sie gar nichts bekommen, das ist der einzige Weg den Preis nach unten zu
drücken. Sie wollen Druck erzeugen, beuge dich dem Druck nicht und nehm ihn die
Druckmittel. Also wann immer die sagen, hier Tage und so weiter, sagst du einfach
moment mal, neh, also mach mal ein bisschen länger, also ehrlich gesagt keine
Ahnung, also auf Zeit zu spielen, macht bei Ihnen den Druck, dass sie das Geld
nicht bekommen. Sie müssen einen Ruf pflegen. Dich zu betrügen schidet ihn also
mehr, als es ihnen selbst nützt, ja? Also es wäre für die, ist es günstiger einfach
den nächsten zu hacken und ihr Glück da zu probieren, als dich noch mal zu hacken.
Das heißt aber nicht, dass es Andere nicht tun. Ja also bitte bitte bitte, ihr müsst
euch so oder so schützen! Die Liste der extrahierten Dateien gibt's kostenlos, die
brauchst du für die DSGVO Meldung, schadet nicht sich die abzuholen. Auch wenn du
zahlst, hast du hohe Folgekosten, du musst dich sowieso noch schützen und du du musst
dich auch vergewissern, dass du wirklich ein Business Case hast. Meistens hast du
den nicht, deswegen drücken die ja so bei der Zeit, weil sie wissen, je länger du
über die Situation nachdenkst, umso mehr Möglichkeiten dich da selber rauszuheben
findest du und umso besser geht's dir und so wahrscheinlicher ist es, dass sie ihr
Geld nicht kriegen. Die Angreifer sind nicht unfehlbar und trotzdem brauchst du
ein Wiederherstellungskonzept, so oder so und zwar jetzt. Übrigens zum Thema
unfehlbar, hat mein Kollege Tobias heute ne gestern einen Vortrag gehalten, der hat
den Titel unlocked recovering Files taken hostage by Ransomware, weil wir als
kleiner Nebenaktivität unserer Aktivitäten in diesem Bereich noch ein Decrypter
veröffentlichen. Dieser Talk ist Teil einer Reihe, sie begann mit Hirnehaken,
sie ging weiter mit Disclosure Hack und hackback von Kantorkel Dominik und mir
beim Camp. Sie hatte einen Höhepunkt gestern mit Unlocked! dem Release des
decrypters für blackbuster von Tobias und sie findet hoffentlich hier Ende mit
Hirne Hacken hackback Edition von Kai Biermann und mir, weil damit sollte jetzt
zum Thema hoffentlich alles gesagt sein, vielen Dank. *Applaus*
K: Danke! Engel: Wunderbar, super ja vielen Dank an
Linus und Kai.
*37c3 Nachspannmusik*
Untertitel von vielen vielen Freiwilligen und dem C3Subtitles Team erstellt. Mach mit und hilf uns!