Linus Neumann 1:30:02
In Deutschland dann die Bereitstellung von vier, zehn Wildkatzen für die Ukraine irgendwie verkündet hat, haben sich russische Hacker darüber beklagen, darüber geärgert und die Gruppe Killnet, von der ichjetzt nicht unbedingt was wusste, hat dann also zum Angriff auf die deutsche Wirtschaft gerufen. Da gab es dann unterschiedliche Journalistinnen und Journalisten, die darüber berichtet haben,dass sie ja in der Telegram-Gruppe von dieser Hacker-Gruppe sind, wo ich so dachte, aha,uiuiui, ne? Ist ja schon mal spannend. Das werden ja seriöse Hacker sein, wenn die in ihrer Telegram Gruppe schon von irgendwelchen fachfremden Journalisten durchgesetzt sind.Und ja, dann haben die offenbar ein paar Denial-of-Service-Angriffe auf ein paar Webseiten gelauncht. Und einige der betroffenen Unternehmen haben das dann erst, also dass ihre Website down war, haben die erst erfahren, dadurch dass,diese Journalistinnen sie dann angesprochen haben. So weißt du, da ruft die Presse bei dir an.Ja, hallo, Ihre Website ist nicht erreichbar. Ja, stimmt. Ja, ich rufe doch mal an. So was von egal, ja. Aber das hat sie natürlich, weil sie jetzt die Zeit investiert hat und weilsie jetzt als Journalisten erzählen wussten, dass sie in der Telegram-Gruppe von den russischen,Hackern sind, musste das natürlich trotzdem überall erzählt werden. Das war also ganz... Es ist immer ganz nett, wenn in diesen IT-Security-Themenbereich Leute vordringen, die jetzt da noch nicht so die Grundausbildung absolviert haben. Aber das nur am Rande. Jetzt.Wurde die Seite von der Ransomware-Gang Hive offline genommen bzw. deren Hidden Service beschlagnahmt. Das heißt, es gibt wieder einen Neuzugang in meiner Sammlung der DomainsSeizure Pages. Ich habe ja mal irgendwann angefangen, immer wenn da so eine Zensurseite,wenn da so ein Hidden Service gesiezt wird, das, was die Polizeibehörden dann dorthin machen. Das sammel ich. Ist übrigens nicht vollständig und Pull Requests sind jederzeitwillkommen. Also gibt es jetzt einen Neuzugang, weil jetzt der Hidden Service von Hive offline genommen wurde. Und das ist ja erstmal, kann man sagen, ist das eigentlich eine positive,Entwicklung, wenn Ransomware-Gangs das Handwerk gelegt wird.Ich bin mir nicht sicher, ob das hier tatsächlich der Fall ist.Also Hive war eine Ransomware-Gruppe, die Unternehmen infiltriert hat. Dann klassische Vorgehensweise ist, sich irgendwie Domänenadministrationsrechte zu holen.Man befällt erstmal einen Rechner, hofft darauf, dass man auf dem Zugänge, woanders hin findet, oder ein schlechtes lokales Admin-Passwort, um dann irgendwie durch weitere Ärgernisse,eine Perspektive zu haben, das Active Directory zu übernehmen.Einfachstenfalls, indem sich ein AD-Administrator auf dem befallenen Rechner einloggt oder in anderen Fällen dadurch, dass man sich eines Nutzeraccounts bemächtigt, der einen.Pfad dahin hat, Domänenadmin-Rechte zu bekommen.Das ist ein eigener Expertisebereich Active Directories zu übernehmen, der aber erlernbar ist und weil es relativ wenige Fehler gibt, die relativ viele machen, kann das auch relativerfolgreich durchgeführt werden. Na ja, dann bist du Domädenadmin, dann guckst du mal, wohin die Backups gehen und dann gibst du halt dem Backup-Server den Befehl zur Selbstzerstörung und dann rollst du per Gruppenrichtlinie,deine Ransomware auf alle Rechner in der Domäne aus oder auf die entscheidendenneuereigischen Punkte, zum Beispiel den Fileserver oder sonstiges. Während du das machst, exfiltrierst du schon mal ein bisschen Daten, um die.Unternehmen, sollte es dir nicht gelingen, alle Dateien zu verschlüsseln und das Unternehmen so lahm zu legen, das Unternehmen dann außerdem oder ergänzend noch mit der Veröffentlichungdieser Daten zu erpressen. So sehr schnell erzählt das Geschäftsmodell Ransomware über das wir bei Logbuch Netzpolitik auch glaube ich seit 2015, 2016 regelmäßig berichten. So, jetzt unterhalten die,also damit du so etwas machen kannst, unterhältst du einen Hidden Service, über den du im Prinzip Prinzip zwei Dinge tust oder mehrere Hidden Services, über die du zwei Dinge tust. Erstens.Du unterhältst diese Leaking-Page, weil durch den Hidden Service kannst du sicherstellen, dass der Server nicht so schnell aus dem Regal gezogen wird. Und zweitens nutzt du diesen odereinen weiteren Hidden Service auch zur Kommunikation mit deinen Zielpersonen, um denen dann eben zu sagen, ja hier, du musst so und so viel Bitcoin da und dahin, dann wird dir der Schlüssel freigegeben oder oder oder.Und jetzt wurden...Wurde diese Gruppe gehackt.Und zwar hat sich das FBI im Juli 2022 Zugang zu dem Kontrollzentrum dieses Netzwerks verschafft. Und damit haben sie dann schon mal die Software-Schlüssel erlangen können,um die gesperrten Daten von Opfern weltweit zu entschlüsseln.Also klar, am Ende ist das ein relativ einfacher Online-Shop, der einfach schaut ist auf den Bitcoin-Wallet, wo ich das haben will, das Geld eingegangen.Wenn das der Fall ist, dann gebe ich hier den Key frei. Das heißt, diese Daten oder dieser Decrypter, üblicherweise kriegst du einen für unterschiedliche,Betriebssysteme und Architekturen, was weiß ich, 32, 64 Bit und so weiter, da kriegst du alles fertig frei aus.Die liegen ja schon auf dem Server, die werden halt nur erst nach Zahlung freigegeben. Das heißt, wenn du da so das Kontrollzentrum darauf Zugriff erlangst, dann kannst du diese Daten darunter laden und die den Betroffenen potenziell kostenlos zur Verfügung stellen.Das hat das FBI gemacht. Und jetzt dann auch diesen Server offline genommen. Und rühmen sich also, wir haben die Hacker mit legalen Mitteln gehackt und den Spieß umgedreht.Wie legal das war, wird man sehen, kommt halt darauf an, welche Methoden sie genutzt haben.Als ich das letzte Mal geguckt habe, war Hacking not allowed in the Netherlands, aber die haben es offenbar legale Mittel fürs Hacking gefunden.Was aber sie nicht geschafft haben, ist, irgendjemanden mal zu verhaften. Denn sie sagen jetzt, ja wir ermitteln noch und alle die damit zu tun haben, sollten sich Sorgen machen.Aber letztendlich ist sie nur gelungen, dass sie halt diese Seite aufleihen genommen haben. Was nicht schlecht ist, weil nach meinem Verständnis war das eine leaking site.Nach meinem Verständnis haben sie damit die Decryption Keys da raus bekommen.Das ist schon mal alles ganz gut.Aber was machen jetzt diejenigen, die mit die By the Hive oder mit the Hive gearbeitet haben?Die werden natürlich jetzt einfach für andere Gruppen arbeiten. Insbesondere ist es ja so, dass die großen Gruppen zumindest ohnehin so ein Affiliate-Modell haben.Das heißt, die stellen ihre Leaking-Infrastruktur, die stellen ihre Software und die sagen dir dann,Pass auf, wenn du irgendwie was schaffst, damit jemanden zu infizieren, irgendein Unternehmen zu kompromittieren und den Kram auszurollen und die Zahlen am Ende, dann machen wir einen fairen Deal.Und dann kriegst du halt Prozente davon, die eben dann auch auszuhandeln sind. Das heißt, die haben längst im Prinzip, wie würde man das sagen, hier wie Uber.