0:00:00.230,0:00:13.142
37C3 Anspannungsmusik
0:00:13.143,0:00:18.080
Engel: Ok dann freue ich mich euch alle[br]sehr herzlich zu Hirne hacken der hackback
0:00:18.080,0:00:23.280
Edition begrüßen zu dürfen. Heute unsere[br]zwei Vortragenden Linus Neumann und Kai
0:00:23.280,0:00:29.120
Biermann, beides bekannte Gesichter hier.[br]Linus bekannt als IT security Consultant
0:00:29.120,0:00:34.200
und hatte das zweifelhafte Vergnügen schon[br]mit unterschiedlichsten Ransomware Gangs
0:00:34.200,0:00:39.240
verhandeln zu dürfen oder zu müssen. Kai[br]Biermann ist Investigativjournalist und
0:00:39.240,0:00:45.000
hat unter anderem Mitglieder der[br]Ransomware Gang Conti entdeckt aufgedeckt
0:00:45.000,0:00:50.240
und heute werden sie uns ein bisschen was[br]dazu erzählen wie man so spieltheoretisch
0:00:50.240,0:00:55.960
das Ganze verhandeln mit Ransomware[br]Hackern angehen kann und was da die
0:00:55.960,0:00:59.920
spannenden Strategien sind. Bitte ein ganz[br]herzliches Willkommen für Linus und Kai!
0:00:59.920,0:01:09.866
Applaus
0:01:09.866,0:01:15.040
Kai: Hallo Kongress eine Ehre hier zu[br]sein! Danke euch! Das ist der Linus, der wurde
0:01:15.040,0:01:19.320
schon kurz vorgestellt, der mag gern[br]reiten, schwimmen und hacken so viel zu
0:01:19.320,0:01:23.560
seinen Hobbys. Er wird öfters mal[br]angerufen wenn irgendwo eine Firma
0:01:23.560,0:01:29.480
gecybert wird und deswegen steht er hier.[br]Linus: Das ist der Kai, der hat keine
0:01:29.480,0:01:36.320
Hobbys die er öffentlich nennen möchte.[br]Lachen Und ruft gerne mal an wenn jemand
0:01:36.320,0:01:41.264
gecybert wird weil er im[br]Investigativressort von Zeit und Zeit
0:01:41.264,0:01:47.160
online arbeitet. Und wenn dieses Telefon[br]so bei mir klingelt ist eigentlich der
0:01:47.160,0:01:51.659
erste Satz immer so: Linus, du musst[br]sofort helfen, wir werden erpresst!
0:01:51.659,0:01:56.707
Gemurmel Und so als Einstieg möchte[br]ich mal einen Fall von vor gar nicht allzu
0:01:56.707,0:02:03.279
langer Zeit schildern, wo ein Hacker oder[br]eine Hackerin von einer eigenen Domain
0:02:03.279,0:02:08.443
eine E-Mail geschrieben hat.[br]"Ich wurde angeheuert um Ihre Webseite zu
0:02:08.443,0:02:13.410
hacken, ich habe Zugriff auf alle[br]Kundendaten und mein Kunde also der der
0:02:13.410,0:02:18.397
mich beauftragt hat zahlt zu wenig[br]deswegen können Sie jetzt Ihre Daten
0:02:18.397,0:02:21.616
zurückkaufen und ich sage in die[br]Schwachstelle."
0:02:21.616,0:02:25.252
wachsendes Lachen
0:02:25.252,0:02:29.455
Linus: Klang schon mal jetzt nicht so auf[br]Anhieb überzeugend ja? Und dann auch was
0:02:29.455,0:02:34.180
ich sehr schön finde du so unmittelbare[br]Selbstbeschuldigung: "Mir ist klar dass es
0:02:34.180,0:02:38.088
ihre Daten sind und ich der Kriminelle bin[br]der sich Zugang zu ihnen verschafft hat,
0:02:38.088,0:02:41.512
werden sie jetzt aber nicht emotional,[br]stellen Sie sich einfach nur mal den
0:02:41.512,0:02:44.159
Schaden vor wenn ich veröffentliche."
0:02:44.159,0:02:46.930
Lachen
0:02:46.930,0:02:52.301
Linus: Ja und ich habe ja schon gesagt das[br]war ein Erpresser ja und er hat dann seine
0:02:52.301,0:02:56.456
Forderung uns mitgeteilt: "ich will[br]2000€".
0:02:56.456,0:03:04.275
LachenLinus lacht
0:03:04.275,0:03:08.880
L: Ja wir haben dann halt die SQL[br]Injection gefixt und ich sag mal so mit
0:03:08.880,0:03:14.120
ein bisschen mehr Forderung hätten wir ihn[br]wahrscheinlich auch ernst genommen, haben
0:03:14.120,0:03:18.040
uns dann aber entschieden vielleicht[br]erstmal nicht zu antworten, worauf hin er
0:03:18.040,0:03:22.480
sagte "Ich muss dem Kunden jetzt in 24[br]Stunden antworten und Sie müssen sich
0:03:22.480,0:03:27.800
jetzt entscheiden, das ist kein Blöff."[br]laute Lachen
0:03:27.800,0:03:31.640
Da haben wir erstmals ein Tee getrunken.[br]lachen
0:03:31.640,0:03:37.205
Und dann schrieb er wieder "ich gebe ihn[br]noch mal 24 Stunden viele lachen
0:03:37.205,0:03:44.234
aber aber dann aber dann!"[br]L: Ja doch ist ein Blöff ja haben also
0:03:44.234,0:03:48.733
erstmal nichts gemacht und dann schrieb[br]er: "also ich gebe ihnen jetzt noch ein
0:03:48.733,0:03:53.490
letztes Mal 24 Stunden dann aber wirklich![br]Und dann wurden die Drohungen "sagt er,"
0:03:53.490,0:03:57.806
und sie haben können sich gar nicht[br]vorstellen, was jetzt noch alles passiert
0:03:57.806,0:04:02.447
und ja." So der Kunde wurde auch, was wenn[br]er noch irgendwas Anderes hat und wir so
0:04:02.447,0:04:06.288
na ja, wenn er noch irgendwas Anderes[br]könnte dann wird er wahrscheinlich nicht
0:04:06.288,0:04:14.360
2000€ fordern. Und wir haben uns aber[br]gewundert, was ist das denn für Einer? Ja?
0:04:14.360,0:04:18.520
Also was ist das für ein Typ der so[br]richtig wohlformulierte lange E-Mails
0:04:18.520,0:04:24.000
schreibt ja? Und uns war irgendwie nicht[br]so klar, es war wohlformulierte Sprache,
0:04:24.000,0:04:28.280
ich sag jetzt nicht welche, aber sie war[br]schön formuliert und wir hatten zwei
0:04:28.280,0:04:33.440
Hypothesen. Die eine war dass ist irgend[br]so ein Abiturient der von zu Hause im
0:04:33.440,0:04:37.080
Kinderzimmer irgendwie meint er wäre jetzt[br]der große Hacker, weil das könnte erklären
0:04:37.080,0:04:42.320
dass er 2000€ für viel Geld hält lachen[br]oder ist Irgendjemand mit Chat GPT in
0:04:42.320,0:04:45.720
Indien oder so für den das potenziell auch[br]viel Geld wäre. Also haben wir uns überlegt
0:04:45.720,0:04:49.640
na ja lass uns doch mal rausfinden. Ja[br]haben uns entschieden wir antworten doch
0:04:49.640,0:04:53.720
mal und haben da gesagt:[br]L: Also pass auf du solltest deine Server
0:04:53.720,0:04:57.880
echt nicht in der EU hosten, weil[br]Gelächter die Polizeibehörden hier
0:04:57.880,0:05:03.760
arbeiten zusammen ja? Und diese Domain die[br]du da hast die solltest du echt nicht mit
0:05:03.760,0:05:08.680
der Kreditkarte zahlen.[br]Linus lacht, viele Lachen
0:05:08.680,0:05:13.600
Und wenn du dein SQL Map Angriffe versuch[br]das doch mal über TOR wenigstens statt von
0:05:13.600,0:05:20.040
deinem anderen VServer aus, ja? Kam[br]erstmals nichts. einige lachen und dann
0:05:20.040,0:05:23.695
hab ich gesagt:[br]L: Pass auf in 24 Stunden
0:05:23.695,0:05:29.485
sehr viele Lachen, Applaus
0:05:29.485,0:05:34.360
geht unser Bericht ans LKA. Die[br]Datenschutzmeldung haben wir ohnehin schon
0:05:34.360,0:05:38.120
gemacht, was soll schon noch kommen ja?[br]Haben wir ihm Angebot gemacht haben
0:05:38.120,0:05:40.560
gesagt:[br]L: Pass auf wenn du deine Daten löscht
0:05:40.560,0:05:43.680
bekommst du McDonald's Gutschein[br]viele lachen
0:05:43.680,0:05:54.440
über 100€ und dann kam eben so, "Eh, meine[br]offshore Server sind verschlüsselt!" L: Wie
0:05:54.440,0:05:59.480
so ... was für Offshore Server? was für[br]Verschlüsselung?
0:06:00.320,0:06:08.197
"Ich will 2000€ sie haben 24 Stunden,[br]sonst..." einige lachen
0:06:08.197,0:06:11.600
L: War wieder die große Sorge, was macht[br]er denn jetzt noch ne haben wir gewartet
0:06:11.600,0:06:17.080
und dann kam dedos einzelne Gelächter[br]dann haben wir cloudflare dazwischen
0:06:17.080,0:06:21.080
geschaltet und dann waren wir fertig ja[br]lachen
0:06:21.080,0:06:25.120
weil wir haben natürlich aus zwei Gründen[br]hier nicht bezahlt: 1. die Forderung war
0:06:25.120,0:06:28.360
viel zu gering, das Geld wär viel zu[br]schnell weg gewesen und der wäre wieder
0:06:28.360,0:06:33.440
gekommen und hätte mehr gewollt und ja ist[br]auch nichts weiter passiert. Aber
0:06:33.440,0:06:37.880
natürlich sind nicht alle Diskussionen[br]oder alle solche Fälle, wenn man mit einem
0:06:37.880,0:06:41.860
verwirrten Einzeltäter zu tun hat, so[br]glimpflich und so einfach.
0:06:41.860,0:06:49.440
Kai: Und vor all so lustig. Das hier ist[br]einer, das ist so ein Einzeltäter, der hat
0:06:49.440,0:06:52.480
mutmaßlich muss ich an dieser Stelle[br]sagen, weil er steht gerade erst vor
0:06:52.480,0:06:56.120
Gericht und ist noch nicht verurteilt und[br]er bestreitet die Tat obwohl es ziemlich
0:06:56.120,0:07:00.240
gute Indizien gibt, die ihr gleich sehen[br]werdet. Das ist so ein Einzeltäter der hat
0:07:00.240,0:07:05.880
in Finnland eine Firma erpresst wastamo[br]die Therapiezentren betreibt,
0:07:05.880,0:07:13.160
psychiatrische Therapiezentren und hat[br]sämtliche therapeutischen Unterlagen
0:07:13.160,0:07:19.960
gecybert kopiert. Der hat sich alle[br]Protokolle aus Therapiesitzungen, alle
0:07:19.960,0:07:24.200
Diagnosen von vielen vielen finnischen[br]Menschen von deren Server geholt und hat
0:07:24.200,0:07:31.560
anschließend gesagt "ich will nicht 2000€[br]sondern 40 Bitcoin". Das waren damals, ist
0:07:31.560,0:07:39.200
schon zwei Jahre her, ca 180 000€ und die[br]Firma hat nicht reagiert. Die hat Tee
0:07:39.200,0:07:46.080
getrunken und daraufhin hat er den[br]Patienten und Patientinnen eine Mail
0:07:46.080,0:07:50.840
geschickt die Daten hat er ja und hat[br]gesagt ok, die Firma zahlt nicht dann will
0:07:50.840,0:07:57.200
ich von euch Geld 200€ in Bitcoin damit[br]eure Therapieunterlagen nicht im Netz
0:07:57.200,0:08:02.520
veröffentlicht werden. Wer macht denn[br]sowas? Hier ist so eine Selbstbeschreibung
0:08:02.520,0:08:07.400
von ihm, könnt ihr mal lesen wenn ihr Zeit[br]habt. Ein lustiger junger Mann 25 ist er
0:08:07.400,0:08:14.600
inzwischen, er glaubt er ist ein großer[br]Philanthrop und hat mit beim Umgang mit
0:08:14.600,0:08:18.600
Tieren schon viel übers Leben gelernt vor[br]allem hat er früh schon Ärger gemacht, der
0:08:18.600,0:08:23.320
hat mit 15 seine erste Verurteilung[br]kassiert, damals war er an Ddos Attacken
0:08:23.320,0:08:26.360
beteiligt und an einem Hobby namens[br]swatting, ich weiß nicht ob schon mal
0:08:26.360,0:08:29.880
gehört habt. Das ist wenn man Leuten die[br]Polizei nach Hause schickt ohne Grund,
0:08:29.880,0:08:35.560
kann sehr ärgerlich sein. Zurück zum Fall,[br]der hat in Finnland für ziemliche
0:08:35.560,0:08:39.640
Aufregung gesorgt, das ist die damalige[br]finnische Innenministerin, die fand diesen
0:08:39.640,0:08:44.240
data breach ein ziemlich shocking Act. Und[br]die Formulierung ist interessant, weil es
0:08:44.240,0:08:49.040
mehr ein Fall von Data breach ist als ein[br]Fall von hacking, denn und jetzt kommen
0:08:49.040,0:08:52.840
wir zu einem 2. wichtigen Punkt in unserem[br]Talk. Die Betroffenen sind oft nicht so
0:08:52.840,0:08:59.240
ganz unschuldig an dem ganzen Problem. Der[br]Server auf dem alle Therapieunterlagen von
0:08:59.240,0:09:03.120
allen finnischen Patienten und[br]Patientin lagen war erstens eine
0:09:03.120,0:09:07.840
selbstgebaute mySQL Datenbank die hingt[br]zweitens im Netz war drittens über Google
0:09:07.840,0:09:12.220
zu finden. Und nur durch ein[br]Standardsystem Admin Passwort geschützt.
0:09:12.220,0:09:22.560
Gemurmel Auslieferungszustand sozusagen.[br]Wer macht so was? Er, das ist der CEO dieser
0:09:22.560,0:09:27.080
Firma Vastaamo der war ganz betroffen[br]darüber dass jemand seine Firma ruiniert
0:09:27.080,0:09:31.320
hat, die ist daraufhin nämlich pleite[br]gegangen und wird bis heute verklagt
0:09:31.320,0:09:35.440
dafür. Der ist nicht betroffen darüber[br]dass viele viele finnische Menschen
0:09:35.440,0:09:41.160
erpresst wurden, sondern darüber dass eine[br]schöne Firma kaputt gegangen ist. Noch ein
0:09:41.160,0:09:44.440
Fakt zu den Patientendaten, den ich sehr[br]interessant finde, sie waren nicht
0:09:44.440,0:09:51.280
anonymisiert und nicht verschlüsselt.[br]Sollte man nicht machen wenn man so heikle
0:09:51.280,0:09:56.040
Gesundheitsdaten hat. Und die Firma hat[br]auch Vorgaben des finnischen
0:09:56.040,0:10:01.600
Gesundheitssystems umgangen zur[br]Datensicherung. Aber zurück zu unserem
0:10:01.600,0:10:09.840
Täter weil... Also er will 40 Bitcoin was[br]tamamo zahlt nicht da haben wir ihn wieder
0:10:09.840,0:10:16.480
den kermit, daraufhin hat er eine schlaue[br]Idee, er will um seinen Druck zu erhöhen,
0:10:16.480,0:10:19.280
weil das ist für den Erpressern immer sehr[br]wichtig wie er auch eben schon gesehen
0:10:19.280,0:10:24.120
hat, er will den Druck erhöhen und sagt[br]ok, wenn ihr nicht zahlt, dann liege ich
0:10:24.120,0:10:31.200
eben jeden Tag den ihr nicht zahlt liege[br]ich 100 Patientenakten. Das Problem dabei
0:10:31.200,0:10:34.920
war, er hat es in ein finnischen imageboard[br]gemacht, ich hoffe ich spreche das richtig
0:10:34.920,0:10:39.960
aus, yillilauter heißt es, das Problem[br]dabei war, er hat so ein paar Informationen
0:10:39.960,0:10:45.280
seines Servers von dem er ausgeleakt hat[br]mitgeleakt, K lacht, Gemurmel IP-Adressen und
0:10:45.280,0:10:49.440
solche Dinge. Worauf hin die Polizei[br]dieser Spur folgen konnte und relativ
0:10:49.440,0:10:53.320
schnell dahinter kam dass da so ein[br]Netzwerk von Servern existiert, dass Jemand
0:10:53.320,0:11:02.190
mit seiner Kreditkarte bezahlt hatte.[br]einzelne Applaus Wird noch schöner. *Kai
0:11:02.190,0:11:06.480
lächelt* Das war nicht der einzige Hinweis[br]auf ihn, den die Polizei fand also, wastamo
0:11:06.480,0:11:17.280
zaht nicht ja sind keine netten Leute. Der[br]Mann reiste viel, er war er tauchte unter.
0:11:17.280,0:11:20.760
Also die Polizei hatte schon seinen Namen,[br]sie ahnte wer es ist und suchte ihn in
0:11:20.760,0:11:25.720
Finnland und er ist abgehauen ins Ausland,[br]hat aber die nicht sehr schlaue Idee
0:11:25.720,0:11:28.152
gehabt darüber im Internet zu posten.
0:11:28.152,0:11:28.200
Gelächter
0:11:28.200,0:11:33.400
Ja er hat wieder auf diesem imageboard[br]JimmiLauter ein Foto gepostet wo er an der
0:11:33.400,0:11:37.720
französischen Küste es sich gut gehen[br]lässt und sich diesen blödsiniges Wasser
0:11:37.720,0:11:46.680
ins Gesicht sprüht. Und hat dieses Foto da[br]gepostet unter anderem von einem der
0:11:46.680,0:11:51.000
Server die im Zusammenhang mit der Tat[br]standen, auch nicht so clever und noch
0:11:51.000,0:11:55.720
viel lustiger, dieses Foto war so gut, dass[br]die Polizei einen Fingerabdruck nehmen
0:11:55.720,0:12:06.160
konnte.[br]Viele lachen, Applaus
0:12:06.160,0:12:11.240
Die finische Polizei wusste jetzt also wo[br]sie ihn suchen muss, in Frankreich.
0:12:11.240,0:12:15.920
Übrigens an dieser Stelle möchten wir[br]einen kurzen Gruß an Starbug schicken, der
0:12:15.920,0:12:22.120
hat nämlich 2014 in einem Vortrag genau[br]das prophezeit. Damals hat er von einem
0:12:22.120,0:12:25.560
Foto von Ursula von der Leihen, das in der[br]Bundespressekonferenz aufgenommen worden
0:12:25.560,0:12:32.000
war den Daumenabdruck extrahiert und[br]bewiesen dass das geht, danke Starbug! Die
0:12:32.000,0:12:41.261
finnische Polizei hat dir zugeschaut.[br]Applaus
0:12:41.261,0:12:45.060
Nachdem wir uns jetzt mit ein paar[br]Amateuren auseinandergesetzt haben die
0:12:45.060,0:12:50.568
eure Unternehmen ruinieren können oder[br]sich selbst oder beides, wollen wir uns mal
0:12:50.568,0:12:54.407
kurz ein bisschen mit Profis[br]auseinandersetzen. Und für mich ist das
0:12:54.407,0:12:59.960
ein bisschen ärgerlich, weil ich darüber in[br]vielen Vorträgen seit nun mehr 7 Jahren
0:12:59.960,0:13:05.480
rede ja? Und zwar Ransomware es ist[br]wirklich nichts Neues aber ich möchte kurz
0:13:05.480,0:13:10.260
eine kleine verkürze subjektive Geschichte[br]der Ransomware erzählen. Ungefähr 2016
0:13:10.260,0:13:15.194
ging es los mit locky, das war so eine[br]Ransomware fürs Privatkundengeschäft hat
0:13:15.194,0:13:19.438
irgendwie so local host sofort[br]verschlüsselt und irgendwas im Bereich von
0:13:19.438,0:13:24.484
paar 100 Euro verlangt ja? Es kam dann[br]später wannacry, das war im Prinzip auch so
0:13:24.484,0:13:29.058
eine local host randsomeware aber[br]verbunden mit dem eternal blue Exploit hat
0:13:29.058,0:13:34.113
also im lokalen Netz nach SMB shares[br]gecheckt und die auch noch mal infiziert
0:13:34.113,0:13:39.239
ja. Also ging so ein bisschen weiter rein.[br]Irgendwann 2018 müsste ryuk damit
0:13:39.239,0:13:44.431
angefangen haben zu erkennen, dass das[br]Backup der natürliche Feind der Ransomware
0:13:44.431,0:13:49.526
ist und hat sich darauf konzentriert in[br]Richtung ad compromise zu gehen also
0:13:49.526,0:13:53.266
komplette Active Directory zu übernehmen[br]und von dort aus in meisten Leute hängen
0:13:53.266,0:13:57.254
ja dummerweise ihren Backup Server ins[br]Active Directory, was die schlechteste
0:13:57.254,0:14:02.064
Idee ist die man haben kann, und dann[br]zerstören sie also erst die Backups und
0:14:02.064,0:14:06.010
rollen dann über eine Group Policy die[br]Ransomware auf allen Hosts aus. Ja das fing
0:14:06.010,0:14:16.098
so ungefähr 2018 an und 2019 fing es an[br]dass maze sich auch so ein bisschen mehr
0:14:16.098,0:14:20.734
auf fileshares spezifisch konzentriert hat[br]und auf das Modell der Double extortion.
0:14:20.734,0:14:24.455
Double extortion könnt ihr euch so[br]vorstellen dass man.. Ich erkläre es
0:14:24.455,0:14:29.663
gleich ne, weil ich möchte eigentlich noch[br]mal kurz darauf reingehen wie katastrophal
0:14:29.663,0:14:34.620
es ist dass wir 2023 noch darüber reden[br]ja? Seit 2019 mindestens ist das die
0:14:34.620,0:14:39.191
gleiche Masche, seit 2016 ist es ein[br]Geschäftsmodell und es sollte einfach so
0:14:39.191,0:14:42.821
sein wie in jedem IT security lifeecycle,[br]du hast eine Prävention wenn die
0:14:42.821,0:14:46.515
fehlschlägt hast du eine Detektion und[br]wenn die fehschlägt hast eine Recovery.
0:14:46.515,0:14:50.314
Die meisten Leute gehen davon aus, dass es[br]vielleicht nicht ganz so gut bei Ihnen
0:14:50.314,0:14:53.705
aussieht ne, haben eine Prävention[br]vielleicht eine Detektion und die Recovery
0:14:53.705,0:14:58.860
eigentlich nicht ganz so gut. Aber wie es[br]wirklich in der Realität für sie aussieht
0:14:58.860,0:15:03.452
so... und wenn man das mal nicht grafisch[br]versinicht sondern so wie dann eine
0:15:03.452,0:15:08.258
Webseite aussieht, das wäre jetzt hier,[br]ich glaube Blackcat Alfi die die vor 2 D
0:15:08.258,0:15:13.375
Wochen hochgegangen sind dann sieht das[br]ungefähr so aus du hast eine Webseite
0:15:13.375,0:15:17.219
Forderung das ist ein Hidden Service und[br]da wird dir dann erklärt wie du Bitcoin
0:15:17.219,0:15:21.054
kaufen kannst. Habe ich in Hirne hacken[br]schon ausführlich erklärt. die Leute die
0:15:21.054,0:15:25.752
die Webseite sehen führen dann als [br]nächstes ungefähr zu dieser Situation:
0:15:25.752,0:15:29.402
"Have you tried paing the ransome"? [br]Weil das die einzige Möglichkeit
0:15:29.402,0:15:33.400
ist an die Dateien wieder [br]ran zukommen. Wenn man das tut, sieht
0:15:33.400,0:15:38.945
eine Seite ungefähr so aus, wo es ein[br]bisschen Instruktionen gibt wie man die
0:15:38.945,0:15:44.521
Dateien wiederherstellt und außerdem sind[br]die Angreifer so nett, sie versprechen den
0:15:44.521,0:15:48.800
kompletten Bericht, wie sie reingekommen[br]sind und ich denke natürlich als Security
0:15:48.800,0:15:52.977
Konz, alles klar ein ordentlicher Bericht[br]ja cool so ein redteam Bericht da bin ich
0:15:52.977,0:15:57.621
mal gespannt. Das ist er ja und eine[br]Standardantwort, die kommt in dem Moment wo
0:15:57.621,0:16:01.923
die Bitcoins gezahlt sind, erscheint die[br]im Chat ja so quasi in in der gleichen
0:16:01.923,0:16:06.329
Zeit. Das heißt die ist hard codet in dieser[br]Webseite drin und das bedeutet diese Web
0:16:06.329,0:16:10.453
diese Angreifer sind absolute onetrack[br]Ponys die haben es hier mit meterpreter
0:16:10.453,0:16:14.930
gemacht, ja ihr könnt euch ungefähr[br]vorstellen wie wenig idea du brauchst,
0:16:14.930,0:16:20.589
damit man meterpreter nicht erkennt ja und[br]diese Angreifer sind onetrack Ponys und
0:16:20.589,0:16:26.200
du bist ihr Opfer. Wir alle kennen diesen[br]klugen Satz, übrigens kann man immer sagen,
0:16:26.200,0:16:29.953
kann man immer sagen, nur nicht beim[br]incident. Der kommt
0:16:29.953,0:16:36.321
Lachen, Applaus
0:16:36.321,0:16:48.989
also kommt nicht an, kommt nicht an. Ja[br]learn from my fail ja? Lachen
0:16:48.989,0:16:51.804
Ich habe gerade gesagt wir sprechen über[br]double extortion, double extortion
0:16:51.804,0:16:55.717
funktioniert so: die Angreifer haben[br]gemerkt dass das Backup für sie ein
0:16:55.717,0:16:59.918
Problem ist und sagen Backup haben wir[br]auch. L lacht Und das werden wir jetzt
0:16:59.918,0:17:04.416
veröffentlichen, ja? Das heißt sie[br]erpressen dich einerseits oder sie
0:17:04.416,0:17:08.670
verlangen Lösegeld für deine Daten und[br]erpressen dich gleichzeitig mit der
0:17:08.670,0:17:12.969
Veröffentlichung, haben also jetzt zwei[br]Druckmittel gegen dich mit denen sie
0:17:12.969,0:17:18.143
versuchen Geld von dir zu bekommen. Und[br]das Ganze passiert jetzt seit vielen
0:17:18.143,0:17:23.768
vielen Jahren und irgendwie Kai schreibt[br]drüber, ich rede drüber, die Deutsche Bahn
0:17:23.768,0:17:28.907
hat schon mal auf ihren Anzeigetafeln[br]gehabt, ja? lachen Aber niemand kümmert
0:17:28.907,0:17:33.816
sich drum und wenn du die Zeitung[br]aufmachst ja, was was wird diskutiert?
0:17:33.816,0:17:39.904
Cyberwar... Was wäre wie fürchterlich wäre[br]das Kai, wenn der Cyberwar jetzt käme?
0:17:39.904,0:17:43.383
Kai: Ja schrecklich oder?[br]L: Das wäre doch total schlimm ja.
0:17:43.383,0:17:48.013
K: Ich mir wird langsam langweilig über[br]Ransomeware zu schreiben ganz ehrlich weil es so
0:17:48.013,0:17:52.520
vorhersagbar ist. Und wenn man sich nur[br]einen kurzen Moment vorstellen würde
0:17:52.520,0:17:56.788
überall in Deutschland würden maskierte[br]Menschen in große und kleine Firmen
0:17:56.788,0:18:02.757
reinrennen ja? Würden die Computer nehmen[br]und wieder rausrennen, was wäre in diesem
0:18:02.757,0:18:08.556
Land los? Also bei großen Firmen ja, Metro[br]und wenzo, Continental und wen so alles
0:18:08.556,0:18:12.091
erwischt hat da rennen 100 Leute rein ja,[br]reißen alle Rechner aus der Wand und
0:18:12.091,0:18:16.311
verschwinden, was wäre in diesem Land los[br]wenn das jeden Tag dreimal passiert, ja?
0:18:16.311,0:18:20.289
Wir hätten den Kriegszustand den Cyberwar![br]Keinen interessiert, weil es digital
0:18:20.289,0:18:24.750
passiert und das verstehe ich immer nicht.[br]L: Ich denke also der Cyberwar, den sich
0:18:24.750,0:18:28.704
vor dem sich alle fürchten übrigens ein[br]absolut fürchterlicher Begriff, den ich
0:18:28.704,0:18:32.222
mir nicht zu eigen machen möchte, die[br]Schrecken des Krieges sind unvergleichbar
0:18:32.222,0:18:36.226
mit ein paar Scharmützeln im Internet. Ja[br]das ist klar vorweg zu sagen, aber wenn wir
0:18:36.226,0:18:40.018
uns davor fürchten digital angegriffen zu[br]werden, dann könnten wir wahrscheinlich im
0:18:40.018,0:18:43.878
Moment irgendwann mal zu der Ansicht[br]kommen, dass wir das falsche fürchten und
0:18:43.878,0:18:47.903
es jetzt schon schlimmer ist, als wir[br]fürchten und wir müssen die bittere
0:18:47.903,0:18:52.418
Erkenntnis sehen, dass wir längst dagegen[br]hätten etwas unternehmen können und wenn
0:18:52.418,0:18:56.244
irgendwann einmal der große Cyberwar[br]losgeht, werden die Angreifer auch nicht
0:18:56.244,0:19:00.652
anders vorgehen als die Angreifer, die uns[br]heute schon Millionen und Milliarden
0:19:00.652,0:19:05.857
Schäden verursachen. Deswegen gibt es in[br]diesem Vortrag die einzig wichtige Folie,
0:19:05.857,0:19:11.257
die ich einmal kurz runterrattern möchte[br]bevor wir uns wieder den Angreifern widmen
0:19:11.257,0:19:15.224
und den schönen Verhandlungen mit ihnen.[br]Was ihr in einer solchen Situation
0:19:15.224,0:19:18.801
braucht, wenn ihr von Ransomware getroffen[br]seid, ist ein priorisiertes
0:19:18.801,0:19:23.417
Wiederherstellungskonzept. Euer Problem[br]ist nicht, dass alle Dateien weg sind, euer
0:19:23.417,0:19:27.446
Problem ist dass die Dateien von gestern[br]und von vor zwei Wochen weg sind. Das
0:19:27.446,0:19:31.183
langzeitarchiv ist gar nicht das Problem,[br]das Problem was diese Unternehmen haben
0:19:31.183,0:19:34.786
ist dass die Produktion oder der[br]Geschäftsbetrieb unmittelbar sofort
0:19:34.786,0:19:39.860
stillsteht und das kostet sehr viel Geld.[br]Was gibt's also für Best Practices für
0:19:39.860,0:19:43.974
eure Backups? Sie müssen unveränderbar[br]sein Write only Backups, ein NutzerIn darf
0:19:43.974,0:19:47.962
nicht in der Lage sein ihre eigenen[br]Backups zu löschen und es darf auch nicht
0:19:47.962,0:19:52.390
ein Admin oder eine Admina in der Lage[br]sein diese Backups zu löschen zumindest
0:19:52.390,0:19:56.733
nicht mit den Rechten im AD vergeben[br]werden. Es muss unabhängig sein auf einer
0:19:56.733,0:20:01.294
eigenen Infrastruktur, es muss isoliert[br]sein, also komplett getrenntes identity
0:20:01.294,0:20:05.883
Access Management, keinesfalls im Active[br]Directory. Wer den Backup Server
0:20:05.883,0:20:10.571
administriert, geht mit einer Tastatur und[br]einem Bildschirm in den Serverraum und
0:20:10.571,0:20:14.258
steckt die da dran. Keine remote[br]administration von dem Backup Server,
0:20:14.258,0:20:18.721
keine Verbindung in euer ad. Wir machen[br]natürlich versionierte Backups, damit wir
0:20:18.721,0:20:22.426
auch frühere Zustände wiederherstellen[br]können, wir machen verifizierte Backups.
0:20:22.426,0:20:26.751
Man könnte das ja einfach mal prüfen bevor[br]man es braucht, ja! Wie viel Geld könnte
0:20:26.751,0:20:31.540
man da sparen, wenn man auch noch einen[br]Fehler entdeckt, wir überwachen das Backup
0:20:31.540,0:20:36.008
also ist ein Backup erfolgt und ist der[br]der Datenbestand auf dem fallserver
0:20:36.008,0:20:39.920
integer! Und vor allem machen wir unsere[br]Backups risikobasiert also die
0:20:39.920,0:20:44.984
Wiederherstellung des Geschäftsmodells[br]wird priorisiert. Die meisten Daten die
0:20:44.984,0:20:49.851
Ihr nicht bra.. Ihr Backup werdet ihr im[br]akuten Fall nicht brauchen, ja wenn ihr
0:20:49.851,0:20:53.258
mal jemanden seht, der dann so ankommt[br]sagt, wir haben alles auf Tape und du
0:20:53.258,0:20:57.453
denkst okay weißt du wie lange das dauert[br]dieses Tape einzuspielen? lächelt Dann
0:20:57.453,0:21:04.182
verstehst du dass potentiell auch Leute[br]diese Zahlungen in Erwägung ziehen die
0:21:04.182,0:21:08.606
Backups haben. Also bitte bitte bitte das[br]sind alle Lehren die es hier zu ziehen
0:21:08.606,0:21:12.040
gibt, und das das was wir gleich über[br]Verhandlungen berichten, das vergesst ich
0:21:12.040,0:21:15.671
am besten wieder ganz schnell, das war nur[br]um euch hierher zu locken, weil uns Leute
0:21:15.671,0:21:18.987
immer danach fragen, wie denn so eine[br]Verhandlung läuft. einzelne Applaus
0:21:18.987,0:21:27.902
K: Ich entschuldige mich für diesen[br]Vortrag. Applaus
0:21:27.902,0:21:31.950
K: Es war etwas lehrerhaft aber ich glaube[br]es musste sein. Kommen wir zurück zu den
0:21:31.950,0:21:36.004
lustigen Leuten. Wir sind ja durch eine[br]Verkettung unwahrscheinlicher Zufälle
0:21:36.004,0:21:40.637
beide Psychologen mal gewesen und haben[br]noch dazu dasselbe an delben Uni studiert,
0:21:40.637,0:21:43.979
wie wir später festgestellt haben,[br]deswegen interessieren uns natürlich die
0:21:43.979,0:21:48.316
psychologischen Effekte dahinter und auch[br]die Psyche der Täter, deswegen wollen wir
0:21:48.316,0:21:52.025
hier so ein paar vorstellen, damit ihr eine[br]Vorstellung dafür kriegt, was sind das für
0:21:52.025,0:21:56.364
Leute eigentlich ja? Warum sind die[br]kriminell, was tun die so. Und wir fangen
0:21:56.364,0:22:02.803
mit einem sehr Prominenten und schillernen[br]Fall an, ihr seht da Maxim Jakubetz, das
0:22:02.803,0:22:08.121
ist ein junger Russe. Ich habe ihn hier[br]sowas wie der Pate genannt, weil er ist
0:22:08.121,0:22:11.357
eine Ausnahme, er ist ein sehr[br]klischeehafter krimineller Typ, wie ihr
0:22:11.357,0:22:16.200
gleich noch sehen werdet. Also nicht nur[br]ja das ist ein Lamborghini Huracan, den er
0:22:16.200,0:22:20.365
da fährt, das ist seiner. Das Klischee geht[br]noch viel weiter, wenn ihr das
0:22:20.365,0:22:24.839
Nummernschild betrachtet, falls ihr[br]russisch könnt, da steht W o R nicht Bor,
0:22:24.839,0:22:30.907
sondern wor und wor übersetzt heißt Dieb[br]lächelt. Seine ganze Gang fuhr mit
0:22:30.907,0:22:34.465
diesen Nummernschildern rum.[br]einzelne Gelächter
0:22:34.465,0:22:38.848
Das konnte er problemlos tun, weil er hat[br]die Tochter eines FSB Offiziers geheiratet
0:22:38.848,0:22:46.380
und muss in Russland nicht viel fürchten.[br]Klischeehaft weil er so richtig Bling
0:22:46.380,0:22:52.809
Bling protzt mit seinem Reichtum und er[br]und seine Freunde sowas machen. Das ist
0:22:52.809,0:22:57.756
die Lomonosof Universität mitten in[br]Moskau, niemand stört sie dabei, wie
0:22:57.756,0:23:03.060
gesagt FSB Offizier. Polizei bestochen und[br]so weiter. Diese Gang, die sind sowas wie
0:23:03.060,0:23:07.198
die Großväter der Ransomware, die nannten[br]sich evil Cop, auch da waren sie relativ
0:23:07.198,0:23:11.851
eindeutig in ihrer Bezeichnung.[br]Gelächter
0:23:11.851,0:23:14.760
Die haben schätzungsweise, es sind immer[br]Schätzungen von Ermittlern, deswegen wer weiß
0:23:14.760,0:23:19.220
ob es stimmt und wie viel es wirklich war,[br]die haben mit ihrem Banking Trojaner
0:23:19.220,0:23:24.786
namens Zeus oder süß ca 70 Millionen[br]Dollar erpresst indem sie Online Banking
0:23:24.786,0:23:29.761
Informationen abgesaugt und dann[br]ausgenutzt haben. Und ja die werden
0:23:29.761,0:23:36.332
gesucht, ne? Also das FBI hätte sie gern,[br]sie sitzen in Russland, werden da auch
0:23:36.332,0:23:41.071
nicht wegfahren. Und sicher auch kein[br]Urlaub wo anders machen als auf der Krim.
0:23:41.071,0:23:45.507
Das Interessante ist, weswegen wir sie hier[br]drin haben, sie sind wirklich so was wie
0:23:45.507,0:23:50.721
die Großväter der Ransomware Modelle, die[br]uns heute plagen. Also die Wirtschaft
0:23:50.721,0:23:55.860
mehrheitlich. Sie haben RAS erfunden[br]Ransomware As a Service also sie haben
0:23:55.860,0:24:00.268
irgendwann aufgehört das Zeug selber[br]einzusetzen, sie haben es vermietet
0:24:00.268,0:24:05.535
verkauft. Hier sind sie noch mal ein[br]bisschen größer nette junge Leute. Sie
0:24:05.535,0:24:09.666
haben angefangen ihre kriminellen[br]Fähigkeiten aufs Programmieren zu
0:24:09.666,0:24:13.848
beschränken und anschließend in[br]kriminellen Forum ihre Tools anzubieten,
0:24:13.848,0:24:18.290
und wie sehen Leute aus die sowas dann[br]weiter verkaufen? So
0:24:18.290,0:24:20.795
Gelächter
0:24:20.795,0:24:27.690
das ist Daniel Schukin, der wurde so noch[br]nicht öffentlich genannt, der ist einer
0:24:27.690,0:24:30.960
der Menschen die davon lebt diese[br]Vermietung zu organisieren,
0:24:30.960,0:24:34.526
höchstwahrscheinlich, muss ich an der[br]Stelle sagen, er ist auch nicht
0:24:34.526,0:24:37.795
verurteilt, hat auch Russland bis[br]jahrelang nicht verlassen. Das da ist in
0:24:37.795,0:24:41.634
Antalia, da glaubt er noch reisen zu[br]können, da hat er diese Yacht gemietet mit
0:24:41.634,0:24:48.850
Freunden zusammen. Wer ist dieser Mensch?[br]Auch ein junger Russe, etwas begabt was
0:24:48.850,0:24:54.153
die Technik angeht, lebt in Krasnodar, mag[br]BMWs und Gucci und große Feste, zeigt sich
0:24:54.153,0:24:59.805
gern mit seiner Frau und mit Freunden den[br]er das Essen bezahlt, der hat Webseiten
0:24:59.805,0:25:06.101
für Online Casinos und Crypto und anderen[br]Schmuddelkram und der vermietet oder hat
0:25:06.101,0:25:11.647
vermietet REvil, ein weiteres großes[br]Ransomware, Familienmodell. Und er scheint
0:25:11.647,0:25:17.051
nicht schlecht davon zu leben, hier ist er[br]wieder, breites Lächeln. Das im Arm ist
0:25:17.051,0:25:20.785
seine Frau, die tut hier nichts zur Sache,[br]deswegen ist sie so ein bisschen
0:25:20.785,0:25:26.444
ausgeblendet. Und leider wollte der nicht[br]mit uns reden, ich weiß auch nicht warum,
0:25:26.444,0:25:29.171
wir haben es versucht, also ich habe viele[br]E-Mails geschrieben, die er nie
0:25:29.171,0:25:33.983
beantwortet hat. Das Interessante an[br]dieser Stelle, man beachte seine Uhr,
0:25:33.983,0:25:39.578
falls Sie die erkennen könnt, hier ist sie[br]größer. Das ist eine vangard encrypto also
0:25:39.578,0:25:44.235
die Uhr allein kostet schon so 50 bis 70[br]000 € wenn man auf so hässliche Uhren
0:25:44.235,0:25:50.155
steht, und statt der 12 ist da ein QR-Code[br]eingraviert, damit wirbt die Firma dass
0:25:50.155,0:25:54.105
man da seine Bitcoin Wallet eingravieren[br]kann.
0:25:54.105,0:25:58.960
Applaus, L, K und Alle lachen
0:25:58.960,0:26:02.718
Die öffentliche die öffentliche das muss[br]man sich auch erstmal leisten können.
0:26:02.718,0:26:07.370
Genau, wir konnten sie leider nicht[br]entschlüsseln, also ich habe es versucht
0:26:07.370,0:26:23.801
aber wir konnten sie leider nicht lesen.[br]Das FBI konnte es. Lachen, Applaus
0:26:23.801,0:26:28.457
Das FBI hat gerade erst noch gar nicht so[br]lange her 317000 von ihnen beschlagnahmt,
0:26:28.457,0:26:33.480
ne also die Crypto sind genau in den Händen[br]des FBI. Ich glaube übrigens FBI ist der
0:26:33.480,0:26:38.820
größte Halter von Bitcoins überhaupt[br]weltweit, oder? Viele lachen
0:26:38.820,0:26:43.996
So er selbst wurde nicht gefasst aber[br]junge Russen, die sich für unverwundbar
0:26:43.996,0:26:47.676
halten, das ist ein wichtiger Aspekt[br]dabei, weil sie entweder Behörden
0:26:47.676,0:26:52.547
bestechen oder direkt in Verbindung stehen[br]mit Behörden, die sind so relativ die
0:26:52.547,0:26:57.580
bilden so eine relativ kleine Gruppe der[br]Hinterleute dieser ganzen Ransomware
0:26:57.580,0:27:03.273
Modelle, die sind aber nicht die große[br]Masse, die sind wirklich Ausnahmen. Die
0:27:03.273,0:27:11.463
die die eigentliche Arbeit machen, die[br]sehen anders aus. Das hier ist eine
0:27:11.463,0:27:16.753
Wohnung in einem relativ runtergekommenen[br]Neubaublock in Harkiv in der Ukraine
0:27:16.753,0:27:22.787
Straße ist 23 August, wen es interessiert.[br]Den Namen nenne ich hier nicht, weil dieser
0:27:22.787,0:27:27.048
Mensch nie verurteilt wurde und nicht mal[br]angeklagt, der wurde laufen gelassen, ich
0:27:27.048,0:27:32.195
erzähle gleich warum. Deswegen hier nur[br]sein Name in dem Internet unterwegs war
0:27:32.195,0:27:38.981
Jeep. Der erklärt sich auch gleich. Dieser[br]Mann war für emotet unterwegs. Emotet
0:27:38.981,0:27:46.218
ebenfalls eine riesige Ransomware Familie[br]ja, die weltweit tausende Opfer verursacht
0:27:46.218,0:27:52.474
hat. Das BKA nannte emotet einen der[br]gefährlichsten Trojaner weltweit und BSI
0:27:52.474,0:27:56.528
Chef Arne Schönbum ex BSI Chef Arne[br]Schönbum, falls sich noch jemand an ihn
0:27:56.528,0:28:03.149
erinnert, nannte es den König der[br]Schadsoftware, aber und deswegen zeigen
0:28:03.149,0:28:09.798
wir es hier auch emotet machte Fehler. Die[br]haben einen Server in Brasilien offen
0:28:09.798,0:28:14.130
gelassen, so dass dort Serverlocks[br]rumlagen, die Ermittlungsbehörden finden
0:28:14.130,0:28:18.538
konnten und dank dieser Serverlocks[br]hangelten Sie sich durch die gesamte
0:28:18.538,0:28:24.500
Infrastruktur dieser Gruppe und kamen[br]zumindest nach Angaben des BKA zu dieser
0:28:24.500,0:28:29.127
Wohnung, dort laufen alle Fäden zusammen[br]und deswegen gab's da 2021 diese
0:28:29.127,0:28:34.189
Wohnungsdurchsuchung, polizia steht da auf[br]der Jacke, also die ukrainische Polizei
0:28:34.189,0:28:38.563
bricht da gerade ein, BKA Beamte waren[br]dabei, ja also da liefen alle Fäden von
0:28:38.563,0:28:43.070
emotet zusammen hier.[br]L: Sieht aus wie bei mir.
0:28:43.070,0:28:49.045
viele lachen[br]K: Okay du hast auch Flohmarkt zeug? lächelt
0:28:49.045,0:28:53.110
K: Das ist der Schreibtisch dieses Mannes[br]und das die Wohnung eines damals 47 Jahre
0:28:53.110,0:28:58.026
alten Ukrainers, seines Zeichens[br]Systemadministrator für Linux und der
0:28:58.026,0:29:02.904
wartet Server für kleine Firmen. Und er[br]tut das für kleines Geld. Und der hat mit
0:29:02.904,0:29:08.161
uns geredet, der war sehr nett und sagte[br]also das auf diesen Backends gefährliche
0:29:08.161,0:29:12.799
trojaner waren, ich wusste es nicht, er[br]hat sich nicht dafür interessiert
0:29:12.799,0:29:19.577
wahrscheinlich. Er hat 12 Server von[br]emotet gewartet und nahm dafür $40 pro
0:29:19.577,0:29:27.640
Server und Monat $480. Ich finde es[br]interessant, weil auch so gigantische
0:29:27.640,0:29:31.574
Erpressungsmodelle ja, wir reden über[br]gigantische Erpessungsmodelle die weltweit
0:29:31.574,0:29:35.854
funktionieren, basieren auf solcher[br]Infrastruktur. Nach Auskunft der Polizei
0:29:35.854,0:29:40.580
die da in der Wohnung war, da sieht man[br]sie noch mal, war ein Großteil davon vom
0:29:40.580,0:29:48.180
Flohmarkt, Jahre alt. Übrigens könnt ihr[br]Kyrillisch lesen? Da steht Department
0:29:48.180,0:29:51.734
KeeberPolitsii, finde ich toll, falls[br]irgendjemand hiermer so Aufkleber macht,
0:29:51.734,0:29:56.565
ich hätte gern ein paar davon.[br]Gelächter
0:29:56.565,0:30:01.208
L: Kommen wir zurück zu einer anderen[br]Ransomware Gang, ich habe ja gesagt, dass
0:30:01.208,0:30:05.998
ich öfter mal die Freude habe mich mit[br]denen auseinandersetzen zu dürfen,
0:30:05.998,0:30:10.297
hauptsächlich deshalb weil Leute denken[br]ich könnte ihn Bitcoin organisieren, ich
0:30:10.297,0:30:16.749
habe keine Ahnung wie auf die Idee kommen[br]aber irgendwie klappt's dann auch. So
0:30:16.749,0:30:21.062
sieht dann so eine Ransom Note aus, die[br]liegt auf deinem Desktop und angegeben
0:30:21.062,0:30:25.732
wird halt ein Tor hinden Service und in[br]diesem Fall ein Login und wenn man da
0:30:25.732,0:30:29.572
drauf klickt kommt halt so ein Chat, ja[br]ist etwas andere Gang jetzt in diesem
0:30:29.572,0:30:35.519
Fall, mal Screenshot von blackbuster[br]rausgesucht und die sagen also sie wollen
0:30:35.519,0:30:41.210
Geld haben. Und jetzt beginnt der Moment[br]für den sich so viele Leute interessieren,
0:30:41.210,0:30:44.749
ich werde also immer nach Vorträgen[br]gefragt, dass ich genau das mal
0:30:44.749,0:30:48.128
beschreiben soll und wie ich gerade schon[br]sagte ich beschreibe das nicht ohne vorher
0:30:48.128,0:30:51.540
zu sagen, wie man sich davor schützen[br]kann. Weil das ist die Situation in der
0:30:51.540,0:30:55.200
man wirklich nicht sein möchte, ja. Der[br]Chat geht natürlich ein bisschen länger,
0:30:55.200,0:30:59.540
ich habe mich jetzt mal so inhaltlich grob[br]zusammengefasst. Wir veröffentlichen in 10
0:30:59.540,0:31:03.803
Tagen, wir haben einen Decrypter, wir[br]wollen in diesem Beispiel 100 Millionen,
0:31:03.803,0:31:07.625
ja. Hab jetzt einfach mal 100 genommen,[br]damit ihr ungefähr die Relationen sieht,
0:31:07.625,0:31:13.920
die die Verhandlung betreffen. Und man[br]sagt natürlich erstmals, Junge, Beweis du
0:31:13.920,0:31:16.962
doch bitte erstmal dass du die Dateien[br]hast ja, also vorher stellt man sich
0:31:16.962,0:31:20.680
erstmal so ein bisschen doof, es ist auf[br]jeden Fall klug irgendwie so ein paar doofe
0:31:20.680,0:31:25.374
Sachen zu fragen ne, was ist BTC irgendwie[br]sowas um den irgendwie zu vermitteln, dass
0:31:25.374,0:31:30.464
man relativ dumm ist, ja? Man sagt dann[br]so, ok, aber Beweis doch mal bitte dass Du
0:31:30.464,0:31:33.243
die Dateien hast, dann sagen die kein[br]Thema, hier ist die Liste ja und dann
0:31:33.243,0:31:39.711
kriegt man so ein Output von tree oder[br]find oder was auch immer ja? Und dann
0:31:39.711,0:31:42.881
sagen sie such dir drei Dateien aus, die[br]schicken wir dir ja, das heißt sie geben
0:31:42.881,0:31:46.830
dir die komplette Liste, du kannst dir[br]drei aussuchen, die kriegst du zurück und
0:31:46.830,0:31:54.366
damit beweisen sie dass du dass sie diese[br]dass Sie alle Dateien haben ne. Hier ist
0:31:54.366,0:32:00.201
deine x Doc X Y xlsx und zxe, das Gute ist[br]die die Liste der Dateien kriegst du für
0:32:00.201,0:32:05.445
umme ja und die brauchst du um den Schaden[br]abzuschätzen, der beispielsweise bei einer
0:32:05.445,0:32:10.160
Veröffentlichung droht, potenziell aber[br]z.B auch für die dsgvo Meldung also diese
0:32:10.160,0:32:14.723
die Liste an Dateien gibt's kostenlos und[br]in vielen Fällen selbst, wenn man gar
0:32:14.723,0:32:18.901
keine Absicht hat zu bezahlen, lohnt es[br]sich die sich zu organisieren ja?
0:32:18.901,0:32:25.086
Kostenlose Leistung, die man hier kriegt.[br]viele lachen
0:32:25.086,0:32:28.404
Und dann sagt man sowas wie du weißt du,[br]wir stellen gerade von Tapes wieder her
0:32:28.404,0:32:32.029
das dauert zwar ein bisschen, aber[br]eigentlich sind wir hier guter Dinge. Dann
0:32:32.029,0:32:36.520
sagen die, stell dir mal vor wenn wir das[br]alles veröffentlichen und man sagt so ja
0:32:36.520,0:32:42.340
eigentlich ist da jetzt nichts großartig[br]kritisches dabei! Wir verkaufen das an die
0:32:42.340,0:32:47.719
Konkurrenz! Auch immer ein sehr spannender[br]Fall, ja, wenn man diese Gespräche führt
0:32:47.719,0:32:50.470
ja und die Betroffen Unternehmen sagen, oh[br]mein Gott die verkauft das an die
0:32:50.470,0:32:53.900
Konkurrenz, oh mein Gott die Verkauf das[br]an die Konkurrenz, wenn man sagt ok, pass
0:32:53.900,0:32:58.155
auf, ich mache euch ein Angebot, ich gebe[br]euch die Daten von der Konkurenz. Das
0:32:58.155,0:33:01.861
werden wir nie machen! Ja okay aber eure[br]Konkurrenz haltet ihr für so verkommen
0:33:01.861,0:33:05.907
dass Sie von irgendwelchen Gangstern für[br]Bitcoin eure Daten kaufen gelächter?
0:33:05.907,0:33:10.120
Also sagt man, kannst du gern probieren[br]wir gehen eigentlich nicht davon aus dass
0:33:10.120,0:33:14.261
sie dir da sonderlich viel Geld für geben[br]ja? Außerdem muss man tatsächlich sehr
0:33:14.261,0:33:19.250
traurigerweise sagen die Veröffentlichung[br]bringt meist einen sehr geringen Schaden
0:33:19.250,0:33:26.324
für dich selber. Weiß auch der Gründer und[br]CE von Motel One, Dieter Müller der sich
0:33:26.324,0:33:31.567
nachdem dem Motel One gebreached wurde und[br]alle Kundendaten ins Internet gegangen
0:33:31.567,0:33:36.209
sind, geweigert hat mit den Leuten zu[br]verhandeln und eventuell diesen Schaden
0:33:36.209,0:33:42.148
von den Kunden abzuwenden ja? Der Mann hat[br]geringe Ansprüche an sich selbst und hohe
0:33:42.148,0:33:45.696
Ansprüche an den Staat, denn an der[br]gesamten Misere ja dass alle Motel One
0:33:45.696,0:33:50.114
Kunden jetzt mit übernachtungsdaten und[br]allem im Internet stehen, ist natürlich
0:33:50.114,0:33:54.795
der Staat schuld, denn der Staat hat noch[br]keinen Weg gefunden seiner staatlichen
0:33:54.795,0:33:59.153
Hoheitsaufgabe gerecht zu werden und seine[br]Bürger und Unternehmen vor kriminellen
0:33:59.153,0:34:03.270
digitalen Angriffen zu schützen.[br]Einzelne Applaus
0:34:03.270,0:34:06.653
Kann natürlich jetzt auch nicht seine[br]Schuld sein. Wie ich habe schon gesagt,
0:34:06.653,0:34:11.729
der Mann hat geringe Ansprüche an sich[br]selbst, hohe Ansprüche an den Staat,
0:34:11.729,0:34:16.925
Coronazeiten waren irgendwo im Bereich 100[br]Millionen Coronahilfen, die der
0:34:16.925,0:34:21.529
eingestrichen hat, dadurch hat Motel One[br]am Ende seine Geschäftsergebnisse
0:34:21.529,0:34:25.230
signifikant verbessern können und er hat[br]noch ein paar Interviews gegeben, dass das
0:34:25.230,0:34:29.207
eine Frechheit wäre und zu wenig.[br]Gelächter
0:34:29.207,0:34:32.640
Aber tatsächlich mal ne, man muss[br]tatsächlich sagen Motel One hat de facto
0:34:32.640,0:34:37.111
keinen Schaden dadurch, dass diese Daten[br]veröffentlicht wurden. Irgendwann ich
0:34:37.111,0:34:42.249
glaube es war man sieht es im Bild 2021[br]wurde extensure gebridged von Lockbit und
0:34:42.249,0:34:46.875
das vll natürlich sehr interessant, also[br]haben wir auf dem Lockbit Block so den
0:34:46.875,0:34:50.170
Countdown geguckt und so ne und dann[br]wurden irgendwann die Daten von extenser
0:34:50.170,0:34:53.905
veröffentlichicht da hat man sich ja dann[br]doch mal für interessiert, das war aber
0:34:53.905,0:34:58.688
total so ein einzeldownload ja, du[br]konntest jede Datei einzeln das war total
0:34:58.688,0:35:03.065
unsortiert umständlich zeitaufwendig ja[br]und die wurden auch immer wieder offline
0:35:03.065,0:35:06.504
genommen und dann wurde die Deadline[br]verlängert wann die released werden und
0:35:06.504,0:35:11.816
irgendwie sind sie jetzt nicht mehr zu[br]finden. Ich denke warum die Angreifer so
0:35:11.816,0:35:17.551
und nicht anders veröffentlichen ist ganz[br]klar, in dem Moment wo sie vollständig
0:35:17.551,0:35:22.320
veröffentlichen, haben Sie Ihr Kind mit[br]dem Bade ausgegossen, es wird niemand mehr
0:35:22.320,0:35:27.151
bezahlen, wenn sie aber so scheibchenweise[br]veröffentlichen, können sie potenziell
0:35:27.151,0:35:31.688
noch weiter erpressen und dich doch[br]überzeugen denen etwas Geld zu geben. Denn
0:35:31.688,0:35:35.790
für sie ist das ja eine Alles oder Nichts[br]Situation und diese Dateien zu
0:35:35.790,0:35:40.044
veröffentlichen, dann haben sie halt statt[br]irgendwie potenziell Millionen einfach nur
0:35:40.044,0:35:44.251
ein mahnendes Beispiel für den nächsten[br]und ein Fall wo ich wieder erzählen kann
0:35:44.251,0:35:48.951
eigentlich kein Schaden entstanden. Wir[br]haben auch darüber gesprochen das nennt
0:35:48.951,0:35:53.521
man dann also die Angreifer wollen Druck[br]erhöhen ja, sie machen inzwischen auch mal
0:35:53.521,0:35:57.770
die Meldung an an die Behörden für dich[br]ja, auch da natürlich einfach um den Druck
0:35:57.770,0:36:03.749
zu erhöhen, weil Druck ist alles was die[br]haben, oder sie belästigen die Leute die
0:36:03.749,0:36:09.766
nicht zahlen ja, rufen dann z.B dort an[br]oder lassen dort anrufen oder erpressen
0:36:09.766,0:36:13.801
eben die Kunden um den rufschaden[br]irgendwie zu maximieren. Also die Gruppen
0:36:13.801,0:36:18.796
arbeiten daran diesen Rufschaden zu[br]vergrößern. Ja in unserem Beispiel sagen
0:36:18.796,0:36:23.942
wir mal wir würden jetzt irgendwie in[br]Richtung einer Zahlung uns orientieren,
0:36:23.942,0:36:28.489
dann sagen wir Bruder, wie sollen wir dir[br]überhaupt vertrauen? Und dann sagt er mein
0:36:28.489,0:36:33.200
Freund wir sind die cyberswan Gruppe,[br]google uns wir haben fünf Sterne auf yelp!
0:36:33.200,0:36:37.681
viele lachen und es ist es ist natürlich[br]wirklich wichtig für diese Mechanik der
0:36:37.681,0:36:41.625
Verhandlung zu wissen, die müssen auch[br]ihren Ruf schützen. Wenn die euch
0:36:41.625,0:36:46.500
betrügen, dann wird das ja bekannt und[br]dann zahlt ihnen niemand mehr. Das heißt
0:36:46.500,0:36:51.852
Vertrauen ist für die eine entscheidende[br]Sache ja? Außerdem haben die auch den
0:36:51.852,0:36:57.247
ganzen Rest des Internets noch vor sich,[br]dass sie jetzt ein zweites Mal dich
0:36:57.247,0:37:02.603
erpressen ist eher unwahrscheinlich. Aber[br]dann sagst du sowas wie ja boah das mit
0:37:02.603,0:37:08.686
den Tapes kennt sie ja dauert ey pass auf[br]wir zahlen dir 25 Dann kommen wir wollen
0:37:08.686,0:37:13.484
100 und du hast noch 7 Tage danach wird es[br]teurer und dann denkst das ist natürlich
0:37:13.484,0:37:18.275
jetzt auch wieder dieses Druck ne wir[br]wollen mehr Geld später und dann sagst du
0:37:18.275,0:37:23.268
ja pass auf Alter in 7 Tagen sind wir[br]fertig, du kannst mir hier maximal 50
0:37:23.268,0:37:28.071
Millionen sparen, das muss aber auch[br]irgendwie businesscase für mich sein ich
0:37:28.071,0:37:34.560
zahle dir 40 ja? Dann sagen die wir wollen[br]70, das unser letztes Angebot, es gilt nur
0:37:34.560,0:37:39.699
24 Stunden und dann sagst du sowas wie, ey[br]Junge, je länger das hier dauert, umso
0:37:39.699,0:37:44.322
weniger ist deine Dienstleistung für mich[br]Wert, ich stell ja hier gerade von Tapes
0:37:44.322,0:37:48.760
wieder her. Und das ist der entscheidende[br]Punkt in diesen Verhandlung für die
0:37:48.760,0:37:52.163
Angreifer geht es um alles oder nichts,[br]also die stehen vor einer Situation dass
0:37:52.163,0:37:55.690
sie entweder von dir Geld bekommen oder[br]gar nichts und dann haben Sie noch die
0:37:55.690,0:37:58.870
Kosten dass sie deine Daten[br]veröffentlichen müssen und genau da musst
0:37:58.870,0:38:04.250
du diesem Druck wiederstehen, der[br]zeitliche Druck wird von denen nur deshalb
0:38:04.250,0:38:09.561
angebracht weil sie also weil sie wissen[br]je länger Du nicht zahlst desto
0:38:09.561,0:38:14.090
unwahrscheinlicher zahlst du. Insofern ist[br]das durchaus sinnvoll in einer solchen
0:38:14.090,0:38:18.829
Situation , wenn du die Zeit hast, auch[br]tatsächlich auf Zeit zu spielen, weil die
0:38:18.829,0:38:24.378
Wissen je länger der Spaß hier geht umso[br]unwahrscheinlicher zahlst du. Na gut dann
0:38:24.378,0:38:30.374
kommt irwi sowas ja 60 Millionen weil du[br]es bist letzte Preis ja? Und dann sagst
0:38:30.374,0:38:35.668
du, das ist der Moment den die Kunden[br]meistens nicht wollen, ja? Dann sagst mal
0:38:35.668,0:38:40.961
ok tut mir leid ich erkläre die Behandlung[br]für gescheitert, hätte hier eine Win-Win
0:38:40.961,0:38:47.586
Situation werden können aber na ja[br]vielleicht beim nächsten Mal.
0:38:47.586,0:38:50.927
viele lachen
0:38:50.927,0:38:53.907
Und dann kommt, ok lass mich mal mit dem[br]Boss reden.
0:38:53.907,0:38:56.472
viele lachen
0:38:56.472,0:39:00.140
Du verhandelst jetzt mit dem Level One[br]Customer Support! Und der hat klare
0:39:00.140,0:39:05.570
Grenzen und erst wenn der mit jemand[br]anders reden muss über den Deal den er dir
0:39:05.570,0:39:10.170
machen kann, merkst du dass du vielleicht[br]langsam in einen Bereich kommst der
0:39:10.170,0:39:15.026
vielleicht für dich auch interessant ist[br]ja? Natürlich kann auch das ein Spiel sein
0:39:15.026,0:39:19.821
aber in diesem Fall werdet ihr gleich[br]sehen war es nicht, es gibt einen Boss.
0:39:19.821,0:39:24.339
Dann kommt eben sowas her: ok 50%[br]allerletzte Preis ja und dann sagst du
0:39:24.339,0:39:28.617
sowas eh, woher weiß ich dass du die Datei[br]überhaupt wieder herstellen kannst? Ja
0:39:28.617,0:39:32.243
auch das erst ganz am Ende machen, weil[br]das ja ein Interesse überhaupt
0:39:32.243,0:39:36.771
signalisiert also die Prüfung, dass Sie[br]Dateien wiederherstellen können jede
0:39:36.771,0:39:41.040
Ransomware Gang bietet dafür an, schick[br]mir zwei Dateien mein Freund, entschlüssel
0:39:41.040,0:39:44.984
ich dir, kriegst du zurück, schickst Du ja[br]hier ist A encrypted und B encrypted und
0:39:44.984,0:39:49.535
dann schickt er dir die entschlüsselten[br]Dateien zurück. Das ist ein sehr wichtiger
0:39:49.535,0:39:53.505
Schritt den man keinesfalls vergessen[br]darf! Du musst dich vergewissern, dass
0:39:53.505,0:39:57.342
dein Freund die Dienstleistung auch[br]wirklich erbringen kann, sonst riskierst
0:39:57.342,0:40:02.318
du mit diesen Leuten hier zu tun zu haben.[br]Das war wannacry ihr erinnert euch die
0:40:02.318,0:40:07.480
ganze Ransomware hat in der Welt nur drei[br]Bitcoin Adressen angegeben und als ich die
0:40:07.480,0:40:11.245
doppelten Screenshots gesehen habe mit dem[br]gleichen Bitcoin Wallet war mir auch
0:40:11.245,0:40:15.434
sofort klar, die werden die Zahlung nicht[br]zuordnen können, hier besteht keine
0:40:15.434,0:40:21.250
Absicht der Wiederherstellung. Und war ja[br]auch bei Wannacry nicht so also wichtig
0:40:21.250,0:40:25.846
sicherstellen und erst spät sicherstellen[br]weil damit signalisierst du überhaupt
0:40:25.846,0:40:30.566
Interesse an der ernsthaftes Interesse an[br]der Wiederherstellung. Und dann kommen die
0:40:30.566,0:40:35.349
klugen Leute und sagen hey vorsicht wenn[br]du zahlst, dann hacken sie dich direkt
0:40:35.349,0:40:39.547
wieder. Und das ist aber Quatsch, übrigens[br]hier das ist also auf dem Sixpack steht
0:40:39.547,0:40:44.279
Mythos auf dem nächsten Sixpack steht[br]Realität aber dol i kann nicht so gut
0:40:44.279,0:40:47.114
schreiben wie ich. Die Realität ist
0:40:47.114,0:40:47.859
lächeln
0:40:47.859,0:40:50.624
der Rest des Internets wartet auf Sie die[br]haben überhaupt gar keinen Grund noch mal
0:40:50.624,0:40:54.992
dich zu hacken, die geben auch übrigens[br]Garantien dass diese Ransomware Gang dich
0:40:54.992,0:41:00.543
nicht noch mal hackt. Es gibt aber genug[br]Andere also früher oder später musst du
0:41:00.543,0:41:06.921
dich schützen und ich kenne mehrere Fälle[br]in den die CEOs oder der Vorstand, oder
0:41:06.921,0:41:13.279
sonst was nach der Zahlung gesagt hat,[br]jetzt haben wir es hinter uns lehnt euch
0:41:13.279,0:41:19.305
zurück, fahrt die Systeme wieder hoch,[br]alles rein ins ad und den MySQL Server in
0:41:19.305,0:41:24.460
die Cloud und gebt ihm und kurze Zeit[br]darauf war das Geschrei groß, ja? Also ihr
0:41:24.460,0:41:29.380
kommt sowieso nicht drum herum euch besser[br]zu schützen am besten macht ihr das bevor
0:41:29.380,0:41:34.600
ihr den Case habt, aber egal ob du zahlst[br]oder nicht die Anderen werden kommen, ja?
0:41:34.600,0:41:39.324
Du hältst dir eine von 100 Gangs vom Leib[br]und dummerweise machen die nicht so eine
0:41:39.324,0:41:42.992
Garantie wie Schutzgeld, dass sie sagen[br]pass auf wenn die anderen Gangs kommen
0:41:42.992,0:41:44.596
dann prügeln wir die raus oder so.
0:41:44.596,0:41:46.202
lachen
0:41:46.202,0:41:49.721
Na ja, dann sagen Sie hier ist unser[br]unsere Bitcoin Wallet ja die nehmen
0:41:49.721,0:41:53.951
üblicherweise eine frische brauchen sie[br]auch damit sie erkennen dass die Zahlung
0:41:53.951,0:41:58.407
von dir ist. Du nimmst üblicherweise eine[br]frische und schickst mal ein satoschi
0:41:58.407,0:42:02.557
rüber, ja? Achtung, das ist interessanter[br]Moment weil dann sehen die wie viel Geld
0:42:02.557,0:42:06.350
auf deinem Wallet liegt. Ja in dem Moment[br]beweist du dass du über ein über eine
0:42:06.350,0:42:10.990
Summe verfügst. Es kann also durchaus auch[br]interessant sein an der Stelle vielleicht
0:42:10.990,0:42:15.970
doch nur 40 da liegen zu haben statt der[br]50 und zu sagen hey Scheiße, Freitagabend,
0:42:15.970,0:42:20.015
du weißt wie das ist, neh, ich habe jetzt[br]echt nicht
0:42:20.015,0:42:24.073
viele lachen
0:42:24.073,0:42:28.326
Dann sagen sie, ist angekommen und dann[br]schickst du den Rest und jetzt kommt sehr
0:42:28.326,0:42:32.875
ein sehr wichtiger Hinweis, bezahle nur[br]wenn du ein Business Case hast. Du hast
0:42:32.875,0:42:37.513
meistens keinen, das Einzige was hier eine[br]Rolle spielt ist, dass deine
0:42:37.513,0:42:41.934
Wiederherstellung potentiell schneller[br]geht. Alle sonstigen Folgekosten die
0:42:41.934,0:42:47.148
Systemeherten, die Systeme desinfizieren,[br]Dinge maximal neu aufbauen, eine komplette
0:42:47.148,0:42:51.680
Renovierung deiner Infrastruktur, die[br]Kosten hast Du ohnehin, die hast du auch
0:42:51.680,0:42:55.816
jetzt schon vor dir, weil du es e machen[br]musst entweder bevor du gebreacht wurdest
0:42:55.816,0:42:59.765
oder danach. Das heißt du musst diesen[br]Case wirklich sehr genau durchrechnen
0:42:59.765,0:43:04.331
bevor du in Erwägung ziehst eine solche[br]Zahlung vorzunehmen. Wenn du es dann
0:43:04.331,0:43:10.100
gemacht hast, kommt sowas wie Yow, wir[br]haben deine Dateien gelöscht, hier ist das
0:43:10.100,0:43:17.027
deleition Lock, also das Output von rm-RF.[br]Das sieht dann so aus, und Linus lächelt
0:43:17.027,0:43:22.433
ich meine die haben sogar ihre local[br]language auf Russisch eingestellt, ja?
0:43:22.433,0:43:27.893
also man sieht hier unten die Translation[br]für gelöscht und Verzeichnis gelöscht also
0:43:27.893,0:43:38.501
ein Output von rm-RF. Und dann sagen sie[br]yoh, wir bereiten jetzt dein Decrypter
0:43:38.501,0:43:39.343
vor.
0:43:39.343,0:43:40.712
einzelne gelächter
0:43:40.712,0:43:46.085
Und man denkt so, bei den anderen geht das[br]eigentlich immer relativ schnell. *Linus
0:43:46.085,0:43:52.839
lächelt* So nach einer Stunde fragt man[br]mal nach und dann kommt, eh ich kann den
0:43:52.839,0:44:01.090
Typen nicht erreichen, hab mal kurz gedult[br]bitte und dann kann das manchmal ein
0:44:01.090,0:44:08.900
bisschen dauern und dann kommt hey, hier[br]ist der Decrypter, sorry der Typ war
0:44:08.900,0:44:10.615
draußen einen saufen, Ja?
0:44:10.615,0:44:11.903
video läufzt, alle lachen
0:44:11.903,0:44:15.309
Und an dieser Stelle zeigt sich, du[br]würdest dem Level One Support auch keinen
0:44:15.309,0:44:19.380
Schlüssel geben der Millionen wert ist,[br]weil dann machen sie side Deals ja? Dann
0:44:19.380,0:44:24.496
verkaufen die den Schlüssel über ihre[br]eigene Konten. Klüger hat das LV gemacht,
0:44:24.496,0:44:29.352
blackcat be denen war das so, die haben[br]quasi also auf Ihrem Server war das
0:44:29.352,0:44:33.736
Bitcoin Wallet direkt angegeben und hat[br]das immer gepollt, ja? Und das heißt auch
0:44:33.736,0:44:39.080
die Veröffentlichung von den decryption[br]Tools und deinem Pentestbericht erfolgte
0:44:39.080,0:44:44.163
automatisch, so haben die den Key von den[br]von ihren Verhandlern weggehalten. Bei
0:44:44.163,0:44:48.608
dieser Gang die ich hier im Beispiel hatte[br]war es eben so, dass sie manuelle
0:44:48.608,0:44:54.300
Interaktion oder oder direkte Interaktion[br]mit ihrem Chef brauchten und die hatten
0:44:54.300,0:44:59.005
halt echt nicht dessen die Nummer, nah?[br]Die können halt auch nur mit dem über
0:44:59.005,0:45:04.143
diesen Chat kommunizieren, aber ich bin[br]ehrlich die Stunden bis wir den Decrypter
0:45:04.143,0:45:10.519
hatten waren etwas weniger entspannt, auch[br]wenn ich mir relativ sicher war, dass sie
0:45:10.519,0:45:15.941
die Zahlung machen würden. Und Kai kann[br]noch mal ein bisschen was darüber reden,
0:45:15.941,0:45:18.424
wie es dann auf der anderen Seite[br]aussieht.
0:45:18.424,0:45:24.120
Kai: Wir machen noch mal ein kleinen[br]Exkurs zu den Leuten, die auf der anderen
0:45:24.120,0:45:29.768
Seite sitzen. Das interessante an diesen[br]Modellen ist, wir kommen auch gleich noch
0:45:29.768,0:45:33.290
zum Level 1 Support. Das interessante an[br]diesen Modellen ist dass sehr viel
0:45:33.290,0:45:37.396
outgesourced ist, wie in der Wirtschaft[br]auch an sogenannte Affiliates, da ist
0:45:37.396,0:45:43.226
Einer. Das sind Menschen die sozusagen auf[br]eigene Rechnung für irgendeine Ransomware
0:45:43.226,0:45:48.658
Familie arbeiten und ihre Beute teilen,[br]die Deals sind meist 75% für diese
0:45:48.658,0:45:54.326
Menschen, 25% oder 20% für die Gäng[br]dahinter, die Vermieter den wir vorhin
0:45:54.326,0:45:59.629
gesehen haben. Das hier ist Sebastian[br]Vahoung, ein Kanadier inzwischen
0:45:59.629,0:46:07.360
verurteilt. Der hat für Networker[br]gearbeitet, wieder eine sehr große Familie
0:46:07.360,0:46:14.459
und war der eifrigste Affiliate von[br]Networker. Der hat dutzende Angriffe
0:46:14.459,0:46:21.080
gefahren und allein er hat 1400 Bitcoin[br]eingesammelt mit diesen Erpressung, damals
0:46:21.080,0:46:26.485
27 Millionen Dollar. Jetzt fragt man sich,[br]wer ist so ein Mensch, ja? Dem ging es gar
0:46:26.485,0:46:30.790
nicht so schlecht, das war sein Häuschen[br]schon vorher, der wohnte da. In der Nähe
0:46:30.790,0:46:35.136
von Ottawa war nettes kleines Häuschen,[br]sieht ganz gemütlich aus, der war
0:46:35.136,0:46:39.840
Computertechniker Universität Ottawa, aber[br]der war so der Typ Kleinkrimineller der
0:46:39.840,0:46:43.820
irgendwie so ein bisschen mehr will vom[br]Leben als das was ihm sein dayjob bietet.
0:46:43.820,0:46:48.380
Der ist auch schon mal mit Drogendelikten[br]aufgefallen, hat 123 kg Marijana vertickt
0:46:48.380,0:46:53.038
viele Lachen
0:46:53.038,0:47:00.022
Kleinkram. Und ja das war dann beim[br]Verhör, da war er nicht mehr so... Ich
0:47:00.022,0:47:04.556
fand den Fall sehr interessant, ich habe[br]ihn ein bisschen zugeguckt man konnte
0:47:04.556,0:47:07.122
durch dan Corona konnte man der[br]Gerichtsverhandlung im Internet folgen,
0:47:07.122,0:47:10.528
wenn man so ein Link sich geholt hat von[br]den Behörden dort und ein stiller
0:47:10.528,0:47:14.298
freundlicher nicht blöder Mensch wie[br]gesagt, ich glaube er wollte ein bisschen
0:47:14.298,0:47:18.200
mehr vom Leben, das wird er jetzt nicht[br]mehr kriegen. Und er ist auch deswegen ist
0:47:18.200,0:47:22.976
er hier in der Sammlung ein Beispiel dafür[br]dass die Täter Fehler machen. Auch das
0:47:22.976,0:47:28.047
finde ich wichtig, die sind nicht[br]unfehlbar. In dem Fall hier war das FBI in
0:47:28.047,0:47:32.566
der Lage, wieder das FBI, die sind sehr[br]aktiv seit einigen Jahren. Die Stufen
0:47:32.566,0:47:37.580
Ransomware auf der Höhe von Terror ein in[br]was ihre Ermittlung angeht inzwischen, nur
0:47:37.580,0:47:43.130
so zur Wichtigkeit, das FBI hat den Server[br]geknackt auf dem die Networker Leute mit
0:47:43.130,0:47:47.860
ihren Affiliates geredet haben, neh die[br]müssen ja reden miteinander, ich war hier,
0:47:47.860,0:47:52.412
ich war da und diese Affiliates die müssen[br]belegen dass sie irgendwo eingebrochen
0:47:52.412,0:47:57.446
sind, dazu laden Sie Screenshots hoch der[br]kopierten Daten, und in einem dieser
0:47:57.446,0:48:03.967
Screenshots waren Metadaten Screenshot[br]2.png enthielt Metadaten und in Metadaten
0:48:03.967,0:48:10.195
stand Sebastian Vahoun. Passiert den[br]besten von uns. Außerdem nutzte er für die
0:48:10.195,0:48:15.737
Kommunikation mit diesem Server zwar eine[br]anonyme E-Mailadresse, war aber zu faul
0:48:15.737,0:48:21.983
die auch anonym abzurufen, sondern sendete[br]sich die E-Mails weiter an seine private
0:48:21.983,0:48:22.948
Mailadresse
0:48:22.948,0:48:23.667
viele Lachen.
0:48:23.667,0:48:27.383
Über die auch seine amazon Bestellung[br]liefen, so dass das FBI sofort auch seiner
0:48:27.383,0:48:28.385
Adresse hatte.
0:48:28.385,0:48:31.877
einzelnes Lachen
0:48:31.877,0:48:38.123
Passiert im besten. Ja also die müssen[br]miteinander reden, ganz kurz, die brauchen
0:48:38.123,0:48:42.071
irgendeine Infrastruktur um zu[br]kommunizieren und das meist der Ort wo sie
0:48:42.071,0:48:46.193
angegriffen werden von Ermittlern.[br]Übrigens Sebastian Vahoug sitzt jetzt für
0:48:46.193,0:48:49.822
20 Jahre in den USA, danach dann noch drei[br]Jahre Bewährung und ich glaube dann muss
0:48:49.822,0:48:55.291
er noch die Freiheitsstrafe absetzen, die[br]er in Kanada noch egal länger. So, also
0:48:55.291,0:49:02.171
diese Leute bilden Banden, die Sourcen[br]aus, die sind relativ organisiert und es
0:49:02.171,0:49:07.549
sind ganz normale Menschen, ja, keine[br]Götter, keine Superhacker. Das sind
0:49:07.549,0:49:12.984
normale Menschen die Fehler machen. Und[br]diese Arbeitsteilung dieser Band geht
0:49:12.984,0:49:20.929
sogar noch viel weiter, hier seht ihr die[br]unterste Ebene, hier seht ihr den Level 1
0:49:20.929,0:49:28.680
Support. Das ist Alla Witte, eine, ich[br]bedauere sie fast, inzwischen. Eine Frau,
0:49:28.680,0:49:33.732
die in der Sowjetunion geboren wurde, sie[br]hat dort mal Programmiererin für
0:49:33.732,0:49:40.454
Funktechnik gelernt, sie ist inzwischen 57[br]Jahre alt, hat ein bisschen Pech gehabt im
0:49:40.454,0:49:47.613
Leben, verwitwet, hat mit Scientology zu[br]tun egal. Jedenfalls sie schlug sich so
0:49:47.613,0:49:53.417
durch mit dem Programmieren von Websites,[br]lebte in Surinam zu dem Zeitpunkt und
0:49:53.417,0:49:58.909
programmierte auch für kleine Unternehmen[br]so ein bisschen HTML und solche Dinge und
0:49:58.909,0:50:04.106
dann bekam sie ein Jobangebot 2017 von[br]einer russischen Softwarefirma, so sagt
0:50:04.106,0:50:08.981
sie es. Ja mit der konnten wir auch reden.[br]Dann gab's so ein Einstellungstest online,
0:50:08.981,0:50:12.420
da musste sie so ein paar technische[br]Fragen beantworten, den hat sie bestanden
0:50:12.420,0:50:16.860
und dann hat man ihren Job angeboten, hat[br]gesagt, pass auf 800 € im Monat kannst du
0:50:16.860,0:50:22.688
von uns haben und dafür machst du hier so[br]Entwicklertätigkeiten. Kam ein kleines
0:50:22.688,0:50:28.878
Team mit neuen Leuten und die kannten sich[br]alle nur über Java. Und ihr Job war es
0:50:28.878,0:50:33.614
dann, und da fingen sie dann doch an[br]drüber nachzudenken, ob das das richtige
0:50:33.614,0:50:36.808
ist, sowas zu programmieren, nämlich[br]Webseiten mit der Benutzeroberfläche auf
0:50:36.808,0:50:40.692
der dann steht "ihr Computer ist[br]infiziert". Kai lächelt Entschuldigung
0:50:40.692,0:50:46.051
das wieder eine von dolies Erfindung, aber[br]ich fand sie sehr hübsch. Und die
0:50:46.051,0:50:51.538
Softwarefma, für die sie dort gearbeitet[br]hat war Conti, eine der größten und
0:50:51.538,0:50:58.140
organisiertesten Ransomware Banden die die[br]Welt bislang gesehen hat , oder die größte
0:50:58.140,0:51:03.829
und organisierteste, und ja Alla Witte war[br]wie gesagt relativ unbedarft am Anfang,
0:51:03.829,0:51:08.355
das glaube ich ihr sogar, weil bei Jabber[br]hat sie sich noch angemeldet mit ihrem
0:51:08.355,0:51:12.542
echten Namen Alla Witte, also den Jabber[br]Server wo die Gang miteinander
0:51:12.542,0:51:17.249
kommunizierte und der dann später geliegt[br]wurde durch ein ROG Mitglied dieser Bande,
0:51:17.249,0:51:23.424
so dass ihr Name relativ schnell klar war[br]deswegen, war sie auch die erste die
0:51:23.424,0:51:29.653
Probleme bekam. Also sie war in Surinam[br]und eines Tages stand die Polizei von
0:51:29.653,0:51:33.740
Surinam vor ihrer Tür und sagte, sorry wir[br]nehmen Sie jetzt mit, ihr Visum ist
0:51:33.740,0:51:37.100
abgelaufen und ihre Computer und so[br]sammeln wir auch alles ein und wir
0:51:37.100,0:51:41.985
schicken sie zurück nach Lettland, wo sie[br]herkam. Sie sind hier nicht mehr
0:51:41.985,0:51:48.957
erwünscht, ja. Der Flug landete dann[br]seltsamerweise in Miami zwischen, da stand
0:51:48.957,0:51:54.600
dann wieder das FBI und nahm sie mit in[br]ein Gefängnis nach Ohio und da blieb sie
0:51:54.600,0:51:58.764
relativ lange, weil das FBI glaubte okay[br]wir haben hier sozusagen die Hacker Queen,
0:51:58.764,0:52:03.000
die kann uns was über Konti erzählen, das[br]war vor dem leack. Nah, das FBI hat sie
0:52:03.000,0:52:06.641
vorer gefunden und hoffte, sie kann ihn[br]viel verraten, aber sie kannte echt nur
0:52:06.641,0:52:10.083
die neun Leute aus ihrem Team, das waren[br]alles kleine freischaffende
0:52:10.083,0:52:15.160
Softwareentwickler, System Admins , die[br]sich ein bisschen was dazu verdienen
0:52:15.160,0:52:20.869
wollten. Sie konnte ihnen nicht viel[br]sagen, deswegen saß sie zwei Jahre dort im
0:52:20.869,0:52:25.644
Knast ohne Prozess. Und es passiert[br]einfach nichts, in der Zwischenzeit kam
0:52:25.644,0:52:30.122
der Konti Leack und alle Welter erfuhr[br]über diese Gang. Inzwischen ist sie
0:52:30.122,0:52:35.451
freigelassen worden aus den USA, ist[br]wieder zurück jetzt wieder in Lettland in
0:52:35.451,0:52:40.618
Riga. Die meisten Vorwürfe wurden fallen[br]gelassen, außer einer Verabredung zum
0:52:40.618,0:52:44.959
Computerbetrug, aber das also es reichtte[br]nicht um sie weiter festzuhalten, wie
0:52:44.959,0:52:49.082
gesagt sie lebt in Riga, sie tut mir[br]wirklich etwas leid. Inzwischen geht sie
0:52:49.082,0:52:54.580
putzen. Das ist, ihr seht hier so die[br]Struktur, von Konti das ist die unterste
0:52:54.580,0:53:01.090
Ebene dieser wirklich organisierten Gang[br]und wir reden hier über die die Profis der
0:53:01.090,0:53:06.448
Branche. Die hatten alles, die hatten[br]Chefs, die sich darum kümmerten Büros
0:53:06.448,0:53:12.593
anzumieten in denen die Leute wirklich von[br]8 bis 5 gearbeitet haben, ja, die kamen
0:53:12.593,0:53:19.990
da. Die wurden über Foren angeheuert und[br]für day Jobs und die waren wie eine Firma
0:53:19.990,0:53:25.302
organisiert. Ich zeige euch gleich noch[br]zwei Mitglieder davon aus dem
0:53:25.302,0:53:29.690
Führungsebene. Bis heute sind nicht alle[br]identifiziert, vor Allen nicht der Kopf
0:53:29.690,0:53:34.705
der Bande Stern, der ist nur unter diesem[br]Händel bekannt, ich soweit ich weiß weiß
0:53:34.705,0:53:39.454
bis heute niemand wer das ist, das ist ein[br]Zeichen dafür dass es schon auch sehr
0:53:39.454,0:53:43.451
fähige kriminelle in diesem Bereich gibt[br]aber es sind Wenige. Und wenn ihr so wie
0:53:43.451,0:53:46.991
Linus mit diesen Leuten zu tun habt, habt[br]ihr nicht mit diesen Leuten zu tun
0:53:46.991,0:53:50.473
niemals, also die machen sich die Finger[br]da nicht mehr mit schmutzig, sondern es
0:53:50.473,0:53:55.326
ist wie gesagt der Level 1 Support, aber[br]es ist auch ein Beispiel, ja diese Banden
0:53:55.326,0:54:00.752
machen Fehler, aber ja Sie können auch gar[br]nicht so schlecht sein, wenn man Pech hat.
0:54:00.752,0:54:08.930
Noch ein paar Gesichter, hier ist einer[br]der Manager Maxim Galochkin, hat ein paar
0:54:08.930,0:54:17.090
Softwarefmen, ist pleite gegangen, kommt[br]aus Abakan in Russland, lebt da glaube ich
0:54:17.090,0:54:24.574
noch immer, soweit zum seine Social Media[br]Profile das hergeben. Der war zuständig
0:54:24.574,0:54:30.316
dafür, dass also die haben alle[br]Virencanner, die es auf dem Markt gab,
0:54:30.316,0:54:34.878
sich so besorgt und er musste testen ob[br]ihre Schadsoftware da durchgeht idR
0:54:34.878,0:54:39.082
Evasion heißt das habe ich mir sagen...[br]L: idR Evasion, ja.
0:54:39.082,0:54:43.830
K: Der baut auch den Kryptolocker, also[br]die Daten verschlüsselt, also sein Team.
0:54:43.830,0:54:47.836
Er war Teamleiter und Manager, ja Maxim[br]wandert gern, der hält nichts von
0:54:47.836,0:54:51.753
Covidimpfung, ist ein großer Putin Fan und[br]Verteidiger des Ukrainekrieges oder das
0:54:51.753,0:54:57.683
Kriegs des Angriffs auf gegen die Ukraine[br]und Anhänger irgendeines Komisischen
0:54:57.683,0:55:02.389
Gurus. Letztlich ein ganz normaler Mensch.
0:55:02.389,0:55:03.949
viele Lachen
0:55:03.949,0:55:08.717
ist in Abwesenheit angeklagt in den USA,[br]weil er Teil von Konti sein soll. Hier ist
0:55:08.717,0:55:15.096
noch einer eine Ebene tiefer ein[br]Teamleiter Oleg Kugarov aus Tolyati bei
0:55:15.096,0:55:20.687
Samara, 50 Jahre alt. Ich finde den[br]interessant, den man, weil also er nennt
0:55:20.687,0:55:23.860
sich selber reverse engineer und mail[br]Analyst und scheint schon länger in der
0:55:23.860,0:55:28.087
Branche zu sein, also länger als Andere,[br]viele Andere kommen wirklich aus legalen
0:55:28.087,0:55:33.254
Bereichen und suchen verzweifelt einen[br]Job. Viele können auch kein Englisch und
0:55:33.254,0:55:37.442
finden in englischsprachigen Industrien da[br]ja keinen Job, also man könnte ja auch
0:55:37.442,0:55:42.672
remote arbeiten und finden kein Job, sie[br]können halt nur russisch und gehen dann zu
0:55:42.672,0:55:47.498
einer russischen Softwarefirma. Ja Oleg[br]verkauft z.B Zero days im Darknet,
0:55:47.498,0:55:50.804
zumindest habe ich so ein paar Hinweise[br]darauf gefunden und, was ich auch
0:55:50.804,0:55:54.774
interessant finde, der hat sich schon 2014[br]bei hacking Team beworben. Hacking Team
0:55:54.774,0:55:59.849
war hier beim Kongress schon ein zwei mal[br]Thema. Das war eine recht berüchtigte
0:55:59.849,0:56:06.203
Firma die Späsoftware herstellte und von[br]Finineas Fischer aufgebohrt und aus dem
0:56:06.203,0:56:11.517
Wasser geblasen wurde, und für Konti hat[br]er Leute angeworben und geführt als
0:56:11.517,0:56:16.160
Teamleiter ja. Er grillt gern, er hat ein[br]shibaainu, Namen Simba, ein kleines
0:56:16.160,0:56:21.887
Häuschen, man sieht ih da in seiner[br]Straße. Wie ernst diese Gangs sind, sieht
0:56:21.887,0:56:26.920
man unter anderem daran, dass die USA[br]bereits sind 10 Millionen Dollar zu zahlen
0:56:26.920,0:56:32.392
für Hinweise, auf die noch nicht bekannten[br]Mitglieder. Das ist schon ein Haufen Geld
0:56:32.392,0:56:38.140
und es heißt dass diese Branche bis heute,[br]die ganze Welt in Atem hält und kaum einen
0:56:38.140,0:56:42.161
interessiert es. Und wie gesagt ich finde[br]das immer noch seltsam. Noch dazu also
0:56:42.161,0:56:45.744
Konti hat sich nicht hat sich selber[br]zerlegt, neh. Das war nicht Ermittler, das
0:56:45.744,0:56:49.490
hat nicht geholfen Alla Witte da[br]einzusperren, sondern die haben sich
0:56:49.490,0:56:55.257
selber ruiniert. Und ja Linus wird jetzt[br]noch mal einen kurzen Vortrag über die
0:56:55.257,0:56:56.827
Lehren daraus halten.
0:56:56.827,0:56:57.527
Linus lacht
0:56:57.527,0:57:01.157
L: Also was ich noch mal sehr wichtig[br]finde, ist, ihr seht die leben dann
0:57:01.157,0:57:06.897
verhältnismäßig entspannt ja? Also wenn[br]man überlegt dass Konti war mal, blackhead
0:57:06.897,0:57:11.135
wurden irgendwie so um die also[br]üblicherweise werden immer so Einnahmen im
0:57:11.135,0:57:15.080
im 100 Millionen Bereich kriegen die hin[br]bis sie bis sie hochgehen ja. So ungefähr
0:57:15.080,0:57:19.859
das ist so die Region, wenn man sich das[br]anschaut. Und so viel Geld scheinen die
0:57:19.859,0:57:25.432
Leute an der Spitze ja auch nicht zu[br]haben, ich denke Kriminalität lohnt sich
0:57:25.432,0:57:31.259
vor allem wegen der Nebenkosten nicht, ja?[br]Also du hast, wenn du wenn dieses Geld
0:57:31.259,0:57:36.389
übergeht auf das auf das Wallet geht,[br]dauert wenige Minuten bis es von dort
0:57:36.389,0:57:40.420
verteilt wird auf viele tausend einzelne[br]wallets, also findet so ein
0:57:40.420,0:57:45.140
Geldwäschevorgang statt. Früher gerne von[br]Tornado Cash gemacht, heute vermutlich von
0:57:45.140,0:57:50.214
Anderen, weil der Betreiber von Tornado[br]Cash ja im Knast sitzt und keine Zugriff
0:57:50.214,0:57:55.949
mehr auf seine Systeme hat. Die müssen[br]sich in ihrer Interaktion sicher sein dass
0:57:55.949,0:58:00.523
es Menschen gibt die lieber 10 Millionen[br]haben können, wenn sie verraten wer Sie
0:58:00.523,0:58:04.273
sind, und das führt dazu, dass du auch[br]echt extrem, sag ich mal dein
0:58:04.273,0:58:09.200
Freundeskreis wird sehr teuer, ja, weil du[br]sicherstellen musst, dass jeder von denen
0:58:09.200,0:58:13.944
keinen Grund findet sich die 10 Millionen[br]zu holen. Also es ist eigentlich insgesamt
0:58:13.944,0:58:19.960
dann doch glaube ich kein Lebensstil der[br]sich empfiehlt, das nur noch mal am Rande.
0:58:19.960,0:58:25.149
Kommen wir zum Fazit. Wir wissen, wie die[br]Angreifer vorgehen und wie man sich
0:58:25.149,0:58:29.728
schützt von Conti. Wir haben es nicht in[br]dem Leak, die haben ein Manual die haben
0:58:29.728,0:58:34.016
halt Probleme gehabt Nachwuchs zu finden,[br]haben sie ein Buch geschrieben so ein
0:58:34.016,0:58:37.588
kleines PDF, wie man jetzt musst du da[br]klicken und dann musst Du hier ne Blatt
0:58:37.588,0:58:41.280
hauen und dann guckst du da und dann[br]kürzester Weg zum Domänenadmin, da musst
0:58:41.280,0:58:46.080
du das machen, da musst Du hier Mimicuts[br]und das ist alles drin, ja? Die Angreifer,
0:58:46.080,0:58:49.989
also du brauchst sowieso ein[br]Wiederherstellungskonzept, solange wir den
0:58:49.989,0:58:54.077
dieses diesen Sumpf nicht trocken legen,[br]dass wir gezwungen sind zu zahlen, werden
0:58:54.077,0:58:57.757
die das weiter tun, da hilft auch kein[br]Verbot der Zahlungen. Die Angreifer
0:58:57.757,0:59:01.339
verlieren aber auch alles, wenn Du nicht[br]zahlst. Also wenn du in der unglücklichen
0:59:01.339,0:59:04.854
Situation bist, in der du niemals sein[br]willst, stell ihn glaubhaft in Aussicht,
0:59:04.854,0:59:08.780
dass sie gar nichts bekommen, das ist der[br]einzige Weg den Preis nach unten zu
0:59:08.780,0:59:12.615
drücken. Sie wollen Druck erzeugen, beuge[br]dich dem Druck nicht und nehm ihn die
0:59:12.615,0:59:16.437
Druckmittel. Also wann immer die sagen,[br]hier Tage und so weiter, sagst du einfach
0:59:16.437,0:59:19.943
moment mal, neh, also mach mal ein[br]bisschen länger, also ehrlich gesagt keine
0:59:19.943,0:59:23.551
Ahnung, also auf Zeit zu spielen, macht[br]bei Ihnen den Druck, dass sie das Geld
0:59:23.551,0:59:27.403
nicht bekommen. Sie müssen einen Ruf[br]pflegen. Dich zu betrügen schidet ihn also
0:59:27.403,0:59:31.256
mehr, als es ihnen selbst nützt, ja? Also[br]es wäre für die, ist es günstiger einfach
0:59:31.256,0:59:35.145
den nächsten zu hacken und ihr Glück da zu[br]probieren, als dich noch mal zu hacken.
0:59:35.145,0:59:39.454
Das heißt aber nicht, dass es Andere nicht[br]tun. Ja also bitte bitte bitte, ihr müsst
0:59:39.454,0:59:43.220
euch so oder so schützen! Die Liste der[br]extrahierten Dateien gibt's kostenlos, die
0:59:43.220,0:59:47.730
brauchst du für die DSGVO Meldung, schadet[br]nicht sich die abzuholen. Auch wenn du
0:59:47.730,0:59:53.625
zahlst, hast du hohe Folgekosten, du musst[br]dich sowieso noch schützen und du du musst
0:59:53.625,0:59:58.570
dich auch vergewissern, dass du wirklich[br]ein Business Case hast. Meistens hast du
0:59:58.570,1:00:02.875
den nicht, deswegen drücken die ja so bei[br]der Zeit, weil sie wissen, je länger du
1:00:02.875,1:00:06.815
über die Situation nachdenkst, umso mehr[br]Möglichkeiten dich da selber rauszuheben
1:00:06.815,1:00:11.075
findest du und umso besser geht's dir und[br]so wahrscheinlicher ist es, dass sie ihr
1:00:11.075,1:00:15.866
Geld nicht kriegen. Die Angreifer sind[br]nicht unfehlbar und trotzdem brauchst du
1:00:15.866,1:00:20.952
ein Wiederherstellungskonzept, so oder so[br]und zwar jetzt. Übrigens zum Thema
1:00:20.952,1:00:26.472
unfehlbar, hat mein Kollege Tobias heute[br]ne gestern einen Vortrag gehalten, der hat
1:00:26.472,1:00:30.887
den Titel unlocked recovering Files taken[br]hostage by Ransomware, weil wir als
1:00:30.887,1:00:35.701
kleiner Nebenaktivität unserer Aktivitäten[br]in diesem Bereich noch ein Decrypter
1:00:35.701,1:00:40.440
veröffentlichen. Dieser Talk ist Teil[br]einer Reihe, sie begann mit Hirnehaken,
1:00:40.440,1:00:45.256
sie ging weiter mit Disclosure Hack und[br]hackback von Kantorkel Dominik und mir
1:00:45.256,1:00:50.352
beim Camp. Sie hatte einen Höhepunkt[br]gestern mit Unlocked! dem Release des
1:00:50.352,1:00:54.848
decrypters für blackbuster von Tobias und[br]sie findet hoffentlich hier Ende mit
1:00:54.848,1:00:58.903
hierirner Hacken hackback Edition von Kai[br]Biermann und mir, weil damit sollte jetzt
1:00:58.903,1:01:04.050
zum Thema hoffentlich alles gesagt sein,[br]vielen Dank.
1:01:04.050,1:01:06.554
Applaus
1:01:06.554,1:01:07.653
Musik
1:01:07.653,1:01:12.520
K: Danke![br]Herald: Wunderbar, super ja vielen Dank an
1:01:12.520,1:01:25.573
Linus und Kai.
1:01:25.573,1:01:28.792
37c3 Nachspannmusik
1:01:28.792,1:01:40.000
Untertitel von vielen vielen Freiwilligen und dem[br]C3Subtitles Team erstellt. Mach mit und hilf uns!