37C3 - Hirne hacken: Hackback Edition

37C3 Anspannungsmusik

Engel: Ok dann freue ich mich euch alle
sehr herzlich zu Hirne hacken der hackback

Edition begrüßen zu dürfen. Heute unsere
zwei Vortragenden Linus Neumann und Kai

Biermann, beides bekannte Gesichter hier.
Linus bekannt als IT security Consultant

und hatte das zweifelhafte Vergnügen schon
mit unterschiedlichsten Ransomware Gangs

verhandeln zu dürfen oder zu müssen. Kai
Biermann ist Investigativjournalist und

hat unter anderem Mitglieder der
Ransomware Gang Conti entdeckt aufgedeckt

und heute werden sie uns ein bisschen was
dazu erzählen wie man so spieltheoretisch

das Ganze verhandeln mit Ransomware
Hackern angehen kann und was da die

spannenden Strategien sind. Bitte ein ganz
herzliches Willkommen für Linus und Kai!

Applaus

Kai: Hallo Kongress eine Ehre hier zu
sein! Danke euch! Das ist der Linus, der wurde

schon kurz vorgestellt, der mag gern
reiten, schwimmen und hacken so viel zu

seinen Hobbys. Er wird öfters mal
angerufen wenn irgendwo eine Firma

gecybert wird und deswegen steht er hier.
Linus: Das ist der Kai, der hat keine

Hobbys die er öffentlich nennen möchte.
Lachen Und ruft gerne mal an wenn jemand

gecybert wird weil er im
Investigativressort von Zeit und Zeit

online arbeitet. Und wenn dieses Telefon
so bei mir klingelt ist eigentlich der

erste Satz immer so: Linus, du musst
sofort helfen, wir werden erpresst!

Gemurmel Und so als Einstieg möchte
ich mal einen Fall von vor gar nicht allzu

langer Zeit schildern, wo ein Hacker oder
eine Hackerin von einer eigenen Domain

eine E-Mail geschrieben hat.
"Ich wurde angeheuert um Ihre Webseite zu

hacken, ich habe Zugriff auf alle
Kundendaten und mein Kunde also der der

mich beauftragt hat zahlt zu wenig
deswegen können Sie jetzt Ihre Daten

zurückkaufen und ich sage in die
Schwachstelle."

wachsendes Lachen

Linus: Klang schon mal jetzt nicht so auf
Anhieb überzeugend ja? Und dann auch was

ich sehr schön finde du so unmittelbare
Selbstbeschuldigung: "Mir ist klar dass es

ihre Daten sind und ich der Kriminelle bin
der sich Zugang zu ihnen verschafft hat,

werden sie jetzt aber nicht emotional,
stellen Sie sich einfach nur mal den

Schaden vor wenn ich veröffentliche."

Lachen

Linus: Ja und ich habe ja schon gesagt das
war ein Erpresser ja und er hat dann seine

Forderung uns mitgeteilt: "ich will
2000€".

LachenLinus lacht

L: Ja wir haben dann halt die SQL
Injection gefixt und ich sag mal so mit

ein bisschen mehr Forderung hätten wir ihn
wahrscheinlich auch ernst genommen, haben

uns dann aber entschieden vielleicht
erstmal nicht zu antworten, worauf hin er

sagte "Ich muss dem Kunden jetzt in 24
Stunden antworten und Sie müssen sich

jetzt entscheiden, das ist kein Blöff."
laute Lachen

Da haben wir erstmals ein Tee getrunken.
lachen

Und dann schrieb er wieder "ich gebe ihn
noch mal 24 Stunden viele lachen

aber aber dann aber dann!"
L: Ja doch ist ein Blöff ja haben also

erstmal nichts gemacht und dann schrieb
er: "also ich gebe ihnen jetzt noch ein

letztes Mal 24 Stunden dann aber wirklich!
Und dann wurden die Drohungen "sagt er,"

und sie haben können sich gar nicht
vorstellen, was jetzt noch alles passiert

und ja." So der Kunde wurde auch, was wenn
er noch irgendwas Anderes hat und wir so

na ja, wenn er noch irgendwas Anderes
könnte dann wird er wahrscheinlich nicht

2000€ fordern. Und wir haben uns aber
gewundert, was ist das denn für Einer? Ja?

Also was ist das für ein Typ der so
richtig wohlformulierte lange E-Mails

schreibt ja? Und uns war irgendwie nicht
so klar, es war wohlformulierte Sprache,

ich sag jetzt nicht welche, aber sie war
schön formuliert und wir hatten zwei

Hypothesen. Die eine war dass ist irgend
so ein Abiturient der von zu Hause im

Kinderzimmer irgendwie meint er wäre jetzt
der große Hacker, weil das könnte erklären

dass er 2000€ für viel Geld hält lachen
oder ist Irgendjemand mit Chat GPT in

Indien oder so für den das potenziell auch
viel Geld wäre. Also haben wir uns überlegt

na ja lass uns doch mal rausfinden. Ja
haben uns entschieden wir antworten doch

mal und haben da gesagt:
L: Also pass auf du solltest deine Server

echt nicht in der EU hosten, weil
Gelächter die Polizeibehörden hier

arbeiten zusammen ja? Und diese Domain die
du da hast die solltest du echt nicht mit

der Kreditkarte zahlen.
Linus lacht, viele Lachen

Und wenn du dein SQL Map Angriffe versuch
das doch mal über TOR wenigstens statt von

deinem anderen VServer aus, ja? Kam
erstmals nichts. einige lachen und dann

hab ich gesagt:
L: Pass auf in 24 Stunden

sehr viele Lachen, Applaus

geht unser Bericht ans LKA. Die
Datenschutzmeldung haben wir ohnehin schon

gemacht, was soll schon noch kommen ja?
Haben wir ihm Angebot gemacht haben

gesagt:
L: Pass auf wenn du deine Daten löscht

bekommst du McDonald's Gutschein
viele lachen

über 100€ und dann kam eben so, "Eh, meine
offshore Server sind verschlüsselt!" L: Wie

so ... was für Offshore Server? was für
Verschlüsselung?

"Ich will 2000€ sie haben 24 Stunden,
sonst..." einige lachen

L: War wieder die große Sorge, was macht
er denn jetzt noch ne haben wir gewartet

und dann kam dedos einzelne Gelächter
dann haben wir cloudflare dazwischen

geschaltet und dann waren wir fertig ja
lachen

weil wir haben natürlich aus zwei Gründen
hier nicht bezahlt: 1. die Forderung war

viel zu gering, das Geld wär viel zu
schnell weg gewesen und der wäre wieder

gekommen und hätte mehr gewollt und ja ist
auch nichts weiter passiert. Aber

natürlich sind nicht alle Diskussionen
oder alle solche Fälle, wenn man mit einem

verwirrten Einzeltäter zu tun hat, so
glimpflich und so einfach.

Kai: Und vor all so lustig. Das hier ist
einer, das ist so ein Einzeltäter, der hat

mutmaßlich muss ich an dieser Stelle
sagen, weil er steht gerade erst vor

Gericht und ist noch nicht verurteilt und
er bestreitet die Tat obwohl es ziemlich

gute Indizien gibt, die ihr gleich sehen
werdet. Das ist so ein Einzeltäter der hat

in Finnland eine Firma erpresst wastamo
die Therapiezentren betreibt,

psychiatrische Therapiezentren und hat
sämtliche therapeutischen Unterlagen

gecybert kopiert. Der hat sich alle
Protokolle aus Therapiesitzungen, alle

Diagnosen von vielen vielen finnischen
Menschen von deren Server geholt und hat

anschließend gesagt "ich will nicht 2000€
sondern 40 Bitcoin". Das waren damals, ist

schon zwei Jahre her, ca 180 000€ und die
Firma hat nicht reagiert. Die hat Tee

getrunken und daraufhin hat er den
Patienten und Patientinnen eine Mail

geschickt die Daten hat er ja und hat
gesagt ok, die Firma zahlt nicht dann will

ich von euch Geld 200€ in Bitcoin damit
eure Therapieunterlagen nicht im Netz

veröffentlicht werden. Wer macht denn
sowas? Hier ist so eine Selbstbeschreibung

von ihm, könnt ihr mal lesen wenn ihr Zeit
habt. Ein lustiger junger Mann 25 ist er

inzwischen, er glaubt er ist ein großer
Philanthrop und hat mit beim Umgang mit

Tieren schon viel übers Leben gelernt vor
allem hat er früh schon Ärger gemacht, der

hat mit 15 seine erste Verurteilung
kassiert, damals war er an Ddos Attacken

beteiligt und an einem Hobby namens
swatting, ich weiß nicht ob schon mal

gehört habt. Das ist wenn man Leuten die
Polizei nach Hause schickt ohne Grund,

kann sehr ärgerlich sein. Zurück zum Fall,
der hat in Finnland für ziemliche

Aufregung gesorgt, das ist die damalige
finnische Innenministerin, die fand diesen

data breach ein ziemlich shocking Act. Und
die Formulierung ist interessant, weil es

mehr ein Fall von Data breach ist als ein
Fall von hacking, denn und jetzt kommen

wir zu einem 2. wichtigen Punkt in unserem
Talk. Die Betroffenen sind oft nicht so

ganz unschuldig an dem ganzen Problem. Der
Server auf dem alle Therapieunterlagen von

allen finnischen Patienten und
Patientin lagen war erstens eine

selbstgebaute mySQL Datenbank die hingt
zweitens im Netz war drittens über Google

zu finden. Und nur durch ein
Standardsystem Admin Passwort geschützt.

Gemurmel Auslieferungszustand sozusagen.
Wer macht so was? Er, das ist der CEO dieser

Firma Vastaamo der war ganz betroffen
darüber dass jemand seine Firma ruiniert

hat, die ist daraufhin nämlich pleite
gegangen und wird bis heute verklagt

dafür. Der ist nicht betroffen darüber
dass viele viele finnische Menschen

erpresst wurden, sondern darüber dass eine
schöne Firma kaputt gegangen ist. Noch ein

Fakt zu den Patientendaten, den ich sehr
interessant finde, sie waren nicht

anonymisiert und nicht verschlüsselt.
Sollte man nicht machen wenn man so heikle

Gesundheitsdaten hat. Und die Firma hat
auch Vorgaben des finnischen

Gesundheitssystems umgangen zur
Datensicherung. Aber zurück zu unserem

Täter weil... Also er will 40 Bitcoin was
tamamo zahlt nicht da haben wir ihn wieder

den kermit, daraufhin hat er eine schlaue
Idee, er will um seinen Druck zu erhöhen,

weil das ist für den Erpressern immer sehr
wichtig wie er auch eben schon gesehen

hat, er will den Druck erhöhen und sagt
ok, wenn ihr nicht zahlt, dann liege ich

eben jeden Tag den ihr nicht zahlt liege
ich 100 Patientenakten. Das Problem dabei

war, er hat es in ein finnischen imageboard
gemacht, ich hoffe ich spreche das richtig

aus, yillilauter heißt es, das Problem
dabei war, er hat so ein paar Informationen

seines Servers von dem er ausgeleakt hat
mitgeleakt, K lacht, Gemurmel IP-Adressen und

solche Dinge. Worauf hin die Polizei
dieser Spur folgen konnte und relativ

schnell dahinter kam dass da so ein
Netzwerk von Servern existiert, dass Jemand

mit seiner Kreditkarte bezahlt hatte.
einzelne Applaus Wird noch schöner. *Kai

lächelt* Das war nicht der einzige Hinweis
auf ihn, den die Polizei fand also, wastamo

zaht nicht ja sind keine netten Leute. Der
Mann reiste viel, er war er tauchte unter.

Also die Polizei hatte schon seinen Namen,
sie ahnte wer es ist und suchte ihn in

Finnland und er ist abgehauen ins Ausland,
hat aber die nicht sehr schlaue Idee

gehabt darüber im Internet zu posten.

Gelächter

Ja er hat wieder auf diesem imageboard
JimmiLauter ein Foto gepostet wo er an der

französischen Küste es sich gut gehen
lässt und sich diesen blödsiniges Wasser

ins Gesicht sprüht. Und hat dieses Foto da
gepostet unter anderem von einem der

Server die im Zusammenhang mit der Tat
standen, auch nicht so clever und noch

viel lustiger, dieses Foto war so gut, dass
die Polizei einen Fingerabdruck nehmen

konnte.
Viele lachen, Applaus

Die finische Polizei wusste jetzt also wo
sie ihn suchen muss, in Frankreich.

Übrigens an dieser Stelle möchten wir
einen kurzen Gruß an Starbug schicken, der

hat nämlich 2014 in einem Vortrag genau
das prophezeit. Damals hat er von einem

Foto von Ursula von der Leihen, das in der
Bundespressekonferenz aufgenommen worden

war den Daumenabdruck extrahiert und
bewiesen dass das geht, danke Starbug! Die

finnische Polizei hat dir zugeschaut.
Applaus

Nachdem wir uns jetzt mit ein paar
Amateuren auseinandergesetzt haben die

eure Unternehmen ruinieren können oder
sich selbst oder beides, wollen wir uns mal

kurz ein bisschen mit Profis
auseinandersetzen. Und für mich ist das

ein bisschen ärgerlich, weil ich darüber in
vielen Vorträgen seit nun mehr 7 Jahren

rede ja? Und zwar Ransomware es ist
wirklich nichts Neues aber ich möchte kurz

eine kleine verkürze subjektive Geschichte
der Ransomware erzählen. Ungefähr 2016

ging es los mit locky, das war so eine
Ransomware fürs Privatkundengeschäft hat

irgendwie so local host sofort
verschlüsselt und irgendwas im Bereich von

paar 100 Euro verlangt ja? Es kam dann
später wannacry, das war im Prinzip auch so

eine local host randsomeware aber
verbunden mit dem eternal blue Exploit hat

also im lokalen Netz nach SMB shares
gecheckt und die auch noch mal infiziert

ja. Also ging so ein bisschen weiter rein.
Irgendwann 2018 müsste ryuk damit

angefangen haben zu erkennen, dass das
Backup der natürliche Feind der Ransomware

ist und hat sich darauf konzentriert in
Richtung ad compromise zu gehen also

komplette Active Directory zu übernehmen
und von dort aus in meisten Leute hängen

ja dummerweise ihren Backup Server ins
Active Directory, was die schlechteste

Idee ist die man haben kann, und dann
zerstören sie also erst die Backups und

rollen dann über eine Group Policy die
Ransomware auf allen Hosts aus. Ja das fing

so ungefähr 2018 an und 2019 fing es an
dass maze sich auch so ein bisschen mehr

auf fileshares spezifisch konzentriert hat
und auf das Modell der Double extortion.

Double extortion könnt ihr euch so
vorstellen dass man.. Ich erkläre es

gleich ne, weil ich möchte eigentlich noch
mal kurz darauf reingehen wie katastrophal

es ist dass wir 2023 noch darüber reden
ja? Seit 2019 mindestens ist das die

gleiche Masche, seit 2016 ist es ein
Geschäftsmodell und es sollte einfach so

sein wie in jedem IT security lifeecycle,
du hast eine Prävention wenn die

fehlschlägt hast du eine Detektion und
wenn die fehschlägt hast eine Recovery.

Die meisten Leute gehen davon aus, dass es
vielleicht nicht ganz so gut bei Ihnen

aussieht ne, haben eine Prävention
vielleicht eine Detektion und die Recovery

eigentlich nicht ganz so gut. Aber wie es
wirklich in der Realität für sie aussieht

so... und wenn man das mal nicht grafisch
versinicht sondern so wie dann eine

Webseite aussieht, das wäre jetzt hier,
ich glaube Blackcat Alfi die die vor 2 D

Wochen hochgegangen sind dann sieht das
ungefähr so aus du hast eine Webseite

Forderung das ist ein Hidden Service und
da wird dir dann erklärt wie du Bitcoin

kaufen kannst. Habe ich in Hirne hacken
schon ausführlich erklärt. die Leute die

die Webseite sehen führen dann als
nächstes ungefähr zu dieser Situation:

"Have you tried paing the ransome"?
Weil das die einzige Möglichkeit

ist an die Dateien wieder
ran zukommen. Wenn man das tut, sieht

eine Seite ungefähr so aus, wo es ein
bisschen Instruktionen gibt wie man die

Dateien wiederherstellt und außerdem sind
die Angreifer so nett, sie versprechen den

kompletten Bericht, wie sie reingekommen
sind und ich denke natürlich als Security

Konz, alles klar ein ordentlicher Bericht
ja cool so ein redteam Bericht da bin ich

mal gespannt. Das ist er ja und eine
Standardantwort, die kommt in dem Moment wo

die Bitcoins gezahlt sind, erscheint die
im Chat ja so quasi in in der gleichen

Zeit. Das heißt die ist hard codet in dieser
Webseite drin und das bedeutet diese Web

diese Angreifer sind absolute onetrack
Ponys die haben es hier mit meterpreter

gemacht, ja ihr könnt euch ungefähr
vorstellen wie wenig idea du brauchst,

damit man meterpreter nicht erkennt ja und
diese Angreifer sind onetrack Ponys und

du bist ihr Opfer. Wir alle kennen diesen
klugen Satz, übrigens kann man immer sagen,

kann man immer sagen, nur nicht beim
incident. Der kommt

Lachen, Applaus

also kommt nicht an, kommt nicht an. Ja
learn from my fail ja? Lachen

Ich habe gerade gesagt wir sprechen über
double extortion, double extortion

funktioniert so: die Angreifer haben
gemerkt dass das Backup für sie ein

Problem ist und sagen Backup haben wir
auch. L lacht Und das werden wir jetzt

veröffentlichen, ja? Das heißt sie
erpressen dich einerseits oder sie

verlangen Lösegeld für deine Daten und
erpressen dich gleichzeitig mit der

Veröffentlichung, haben also jetzt zwei
Druckmittel gegen dich mit denen sie

versuchen Geld von dir zu bekommen. Und
das Ganze passiert jetzt seit vielen

vielen Jahren und irgendwie Kai schreibt
drüber, ich rede drüber, die Deutsche Bahn

hat schon mal auf ihren Anzeigetafeln
gehabt, ja? lachen Aber niemand kümmert

sich drum und wenn du die Zeitung
aufmachst ja, was was wird diskutiert?

Cyberwar... Was wäre wie fürchterlich wäre
das Kai, wenn der Cyberwar jetzt käme?

Kai: Ja schrecklich oder?
L: Das wäre doch total schlimm ja.

K: Ich mir wird langsam langweilig über
Ransomeware zu schreiben ganz ehrlich weil es so

vorhersagbar ist. Und wenn man sich nur
einen kurzen Moment vorstellen würde

überall in Deutschland würden maskierte
Menschen in große und kleine Firmen

reinrennen ja? Würden die Computer nehmen
und wieder rausrennen, was wäre in diesem

Land los? Also bei großen Firmen ja, Metro
und wenzo, Continental und wen so alles

erwischt hat da rennen 100 Leute rein ja,
reißen alle Rechner aus der Wand und

verschwinden, was wäre in diesem Land los
wenn das jeden Tag dreimal passiert, ja?

Wir hätten den Kriegszustand den Cyberwar!
Keinen interessiert, weil es digital

passiert und das verstehe ich immer nicht.
L: Ich denke also der Cyberwar, den sich

vor dem sich alle fürchten übrigens ein
absolut fürchterlicher Begriff, den ich

mir nicht zu eigen machen möchte, die
Schrecken des Krieges sind unvergleichbar

mit ein paar Scharmützeln im Internet. Ja
das ist klar vorweg zu sagen, aber wenn wir

uns davor fürchten digital angegriffen zu
werden, dann könnten wir wahrscheinlich im

Moment irgendwann mal zu der Ansicht
kommen, dass wir das falsche fürchten und

es jetzt schon schlimmer ist, als wir
fürchten und wir müssen die bittere

Erkenntnis sehen, dass wir längst dagegen
hätten etwas unternehmen können und wenn

irgendwann einmal der große Cyberwar
losgeht, werden die Angreifer auch nicht

anders vorgehen als die Angreifer, die uns
heute schon Millionen und Milliarden

Schäden verursachen. Deswegen gibt es in
diesem Vortrag die einzig wichtige Folie,

die ich einmal kurz runterrattern möchte
bevor wir uns wieder den Angreifern widmen

und den schönen Verhandlungen mit ihnen.
Was ihr in einer solchen Situation

braucht, wenn ihr von Ransomware getroffen
seid, ist ein priorisiertes

Wiederherstellungskonzept. Euer Problem
ist nicht, dass alle Dateien weg sind, euer

Problem ist dass die Dateien von gestern
und von vor zwei Wochen weg sind. Das

langzeitarchiv ist gar nicht das Problem,
das Problem was diese Unternehmen haben

ist dass die Produktion oder der
Geschäftsbetrieb unmittelbar sofort

stillsteht und das kostet sehr viel Geld.
Was gibt's also für Best Practices für

eure Backups? Sie müssen unveränderbar
sein Write only Backups, ein NutzerIn darf

nicht in der Lage sein ihre eigenen
Backups zu löschen und es darf auch nicht

ein Admin oder eine Admina in der Lage
sein diese Backups zu löschen zumindest

nicht mit den Rechten im AD vergeben
werden. Es muss unabhängig sein auf einer

eigenen Infrastruktur, es muss isoliert
sein, also komplett getrenntes identity

Access Management, keinesfalls im Active
Directory. Wer den Backup Server

administriert, geht mit einer Tastatur und
einem Bildschirm in den Serverraum und

steckt die da dran. Keine remote
administration von dem Backup Server,

keine Verbindung in euer ad. Wir machen
natürlich versionierte Backups, damit wir

auch frühere Zustände wiederherstellen
können, wir machen verifizierte Backups.

Man könnte das ja einfach mal prüfen bevor
man es braucht, ja! Wie viel Geld könnte

man da sparen, wenn man auch noch einen
Fehler entdeckt, wir überwachen das Backup

also ist ein Backup erfolgt und ist der
der Datenbestand auf dem fallserver

integer! Und vor allem machen wir unsere
Backups risikobasiert also die

Wiederherstellung des Geschäftsmodells
wird priorisiert. Die meisten Daten die

Ihr nicht bra.. Ihr Backup werdet ihr im
akuten Fall nicht brauchen, ja wenn ihr

mal jemanden seht, der dann so ankommt
sagt, wir haben alles auf Tape und du

denkst okay weißt du wie lange das dauert
dieses Tape einzuspielen? lächelt Dann

verstehst du dass potentiell auch Leute
diese Zahlungen in Erwägung ziehen die

Backups haben. Also bitte bitte bitte das
sind alle Lehren die es hier zu ziehen

gibt, und das das was wir gleich über
Verhandlungen berichten, das vergesst ich

am besten wieder ganz schnell, das war nur
um euch hierher zu locken, weil uns Leute

immer danach fragen, wie denn so eine
Verhandlung läuft. einzelne Applaus

K: Ich entschuldige mich für diesen
Vortrag. Applaus

K: Es war etwas lehrerhaft aber ich glaube
es musste sein. Kommen wir zurück zu den

lustigen Leuten. Wir sind ja durch eine
Verkettung unwahrscheinlicher Zufälle

beide Psychologen mal gewesen und haben
noch dazu dasselbe an delben Uni studiert,

wie wir später festgestellt haben,
deswegen interessieren uns natürlich die

psychologischen Effekte dahinter und auch
die Psyche der Täter, deswegen wollen wir

hier so ein paar vorstellen, damit ihr eine
Vorstellung dafür kriegt, was sind das für

Leute eigentlich ja? Warum sind die
kriminell, was tun die so. Und wir fangen

mit einem sehr Prominenten und schillernen
Fall an, ihr seht da Maxim Jakubetz, das

ist ein junger Russe. Ich habe ihn hier
sowas wie der Pate genannt, weil er ist

eine Ausnahme, er ist ein sehr
klischeehafter krimineller Typ, wie ihr

gleich noch sehen werdet. Also nicht nur
ja das ist ein Lamborghini Huracan, den er

da fährt, das ist seiner. Das Klischee geht
noch viel weiter, wenn ihr das

Nummernschild betrachtet, falls ihr
russisch könnt, da steht W o R nicht Bor,

sondern wor und wor übersetzt heißt Dieb
lächelt. Seine ganze Gang fuhr mit

diesen Nummernschildern rum.
einzelne Gelächter

Das konnte er problemlos tun, weil er hat
die Tochter eines FSB Offiziers geheiratet

und muss in Russland nicht viel fürchten.
Klischeehaft weil er so richtig Bling

Bling protzt mit seinem Reichtum und er
und seine Freunde sowas machen. Das ist

die Lomonosof Universität mitten in
Moskau, niemand stört sie dabei, wie

gesagt FSB Offizier. Polizei bestochen und
so weiter. Diese Gang, die sind sowas wie

die Großväter der Ransomware, die nannten
sich evil Cop, auch da waren sie relativ

eindeutig in ihrer Bezeichnung.
Gelächter

Die haben schätzungsweise, es sind immer
Schätzungen von Ermittlern, deswegen wer weiß

ob es stimmt und wie viel es wirklich war,
die haben mit ihrem Banking Trojaner

namens Zeus oder süß ca 70 Millionen
Dollar erpresst indem sie Online Banking

Informationen abgesaugt und dann
ausgenutzt haben. Und ja die werden

gesucht, ne? Also das FBI hätte sie gern,
sie sitzen in Russland, werden da auch

nicht wegfahren. Und sicher auch kein
Urlaub wo anders machen als auf der Krim.

Das Interessante ist, weswegen wir sie hier
drin haben, sie sind wirklich so was wie

die Großväter der Ransomware Modelle, die
uns heute plagen. Also die Wirtschaft

mehrheitlich. Sie haben RAS erfunden
Ransomware As a Service also sie haben

irgendwann aufgehört das Zeug selber
einzusetzen, sie haben es vermietet

verkauft. Hier sind sie noch mal ein
bisschen größer nette junge Leute. Sie

haben angefangen ihre kriminellen
Fähigkeiten aufs Programmieren zu

beschränken und anschließend in
kriminellen Forum ihre Tools anzubieten,

und wie sehen Leute aus die sowas dann
weiter verkaufen? So

Gelächter

das ist Daniel Schukin, der wurde so noch
nicht öffentlich genannt, der ist einer

der Menschen die davon lebt diese
Vermietung zu organisieren,

höchstwahrscheinlich, muss ich an der
Stelle sagen, er ist auch nicht

verurteilt, hat auch Russland bis
jahrelang nicht verlassen. Das da ist in

Antalia, da glaubt er noch reisen zu
können, da hat er diese Yacht gemietet mit

Freunden zusammen. Wer ist dieser Mensch?
Auch ein junger Russe, etwas begabt was

die Technik angeht, lebt in Krasnodar, mag
BMWs und Gucci und große Feste, zeigt sich

gern mit seiner Frau und mit Freunden den
er das Essen bezahlt, der hat Webseiten

für Online Casinos und Crypto und anderen
Schmuddelkram und der vermietet oder hat

vermietet REvil, ein weiteres großes
Ransomware, Familienmodell. Und er scheint

nicht schlecht davon zu leben, hier ist er
wieder, breites Lächeln. Das im Arm ist

seine Frau, die tut hier nichts zur Sache,
deswegen ist sie so ein bisschen

ausgeblendet. Und leider wollte der nicht
mit uns reden, ich weiß auch nicht warum,

wir haben es versucht, also ich habe viele
E-Mails geschrieben, die er nie

beantwortet hat. Das Interessante an
dieser Stelle, man beachte seine Uhr,

falls Sie die erkennen könnt, hier ist sie
größer. Das ist eine vangard encrypto also

die Uhr allein kostet schon so 50 bis 70
000 € wenn man auf so hässliche Uhren

steht, und statt der 12 ist da ein QR-Code
eingraviert, damit wirbt die Firma dass

man da seine Bitcoin Wallet eingravieren
kann.

Applaus, L, K und Alle lachen

Die öffentliche die öffentliche das muss
man sich auch erstmal leisten können.

Genau, wir konnten sie leider nicht
entschlüsseln, also ich habe es versucht

aber wir konnten sie leider nicht lesen.
Das FBI konnte es. Lachen, Applaus

Das FBI hat gerade erst noch gar nicht so
lange her 317000 von ihnen beschlagnahmt,

ne also die Crypto sind genau in den Händen
des FBI. Ich glaube übrigens FBI ist der

größte Halter von Bitcoins überhaupt
weltweit, oder? Viele lachen

So er selbst wurde nicht gefasst aber
junge Russen, die sich für unverwundbar

halten, das ist ein wichtiger Aspekt
dabei, weil sie entweder Behörden

bestechen oder direkt in Verbindung stehen
mit Behörden, die sind so relativ die

bilden so eine relativ kleine Gruppe der
Hinterleute dieser ganzen Ransomware

Modelle, die sind aber nicht die große
Masse, die sind wirklich Ausnahmen. Die

die die eigentliche Arbeit machen, die
sehen anders aus. Das hier ist eine

Wohnung in einem relativ runtergekommenen
Neubaublock in Harkiv in der Ukraine

Straße ist 23 August, wen es interessiert.
Den Namen nenne ich hier nicht, weil dieser

Mensch nie verurteilt wurde und nicht mal
angeklagt, der wurde laufen gelassen, ich

erzähle gleich warum. Deswegen hier nur
sein Name in dem Internet unterwegs war

Jeep. Der erklärt sich auch gleich. Dieser
Mann war für emotet unterwegs. Emotet

ebenfalls eine riesige Ransomware Familie
ja, die weltweit tausende Opfer verursacht

hat. Das BKA nannte emotet einen der
gefährlichsten Trojaner weltweit und BSI

Chef Arne Schönbum ex BSI Chef Arne
Schönbum, falls sich noch jemand an ihn

erinnert, nannte es den König der
Schadsoftware, aber und deswegen zeigen

wir es hier auch emotet machte Fehler. Die
haben einen Server in Brasilien offen

gelassen, so dass dort Serverlocks
rumlagen, die Ermittlungsbehörden finden

konnten und dank dieser Serverlocks
hangelten Sie sich durch die gesamte

Infrastruktur dieser Gruppe und kamen
zumindest nach Angaben des BKA zu dieser

Wohnung, dort laufen alle Fäden zusammen
und deswegen gab's da 2021 diese

Wohnungsdurchsuchung, polizia steht da auf
der Jacke, also die ukrainische Polizei

bricht da gerade ein, BKA Beamte waren
dabei, ja also da liefen alle Fäden von

emotet zusammen hier.
L: Sieht aus wie bei mir.

viele lachen
K: Okay du hast auch Flohmarkt zeug? lächelt

K: Das ist der Schreibtisch dieses Mannes
und das die Wohnung eines damals 47 Jahre

alten Ukrainers, seines Zeichens
Systemadministrator für Linux und der

wartet Server für kleine Firmen. Und er
tut das für kleines Geld. Und der hat mit

uns geredet, der war sehr nett und sagte
also das auf diesen Backends gefährliche

trojaner waren, ich wusste es nicht, er
hat sich nicht dafür interessiert

wahrscheinlich. Er hat 12 Server von
emotet gewartet und nahm dafür $40 pro

Server und Monat $480. Ich finde es
interessant, weil auch so gigantische

Erpressungsmodelle ja, wir reden über
gigantische Erpessungsmodelle die weltweit

funktionieren, basieren auf solcher
Infrastruktur. Nach Auskunft der Polizei

die da in der Wohnung war, da sieht man
sie noch mal, war ein Großteil davon vom

Flohmarkt, Jahre alt. Übrigens könnt ihr
Kyrillisch lesen? Da steht Department

KeeberPolitsii, finde ich toll, falls
irgendjemand hiermer so Aufkleber macht,

ich hätte gern ein paar davon.
Gelächter

L: Kommen wir zurück zu einer anderen
Ransomware Gang, ich habe ja gesagt, dass

ich öfter mal die Freude habe mich mit
denen auseinandersetzen zu dürfen,

hauptsächlich deshalb weil Leute denken
ich könnte ihn Bitcoin organisieren, ich

habe keine Ahnung wie auf die Idee kommen
aber irgendwie klappt's dann auch. So

sieht dann so eine Ransom Note aus, die
liegt auf deinem Desktop und angegeben

wird halt ein Tor hinden Service und in
diesem Fall ein Login und wenn man da

drauf klickt kommt halt so ein Chat, ja
ist etwas andere Gang jetzt in diesem

Fall, mal Screenshot von blackbuster
rausgesucht und die sagen also sie wollen

Geld haben. Und jetzt beginnt der Moment
für den sich so viele Leute interessieren,

ich werde also immer nach Vorträgen
gefragt, dass ich genau das mal

beschreiben soll und wie ich gerade schon
sagte ich beschreibe das nicht ohne vorher

zu sagen, wie man sich davor schützen
kann. Weil das ist die Situation in der

man wirklich nicht sein möchte, ja. Der
Chat geht natürlich ein bisschen länger,

ich habe mich jetzt mal so inhaltlich grob
zusammengefasst. Wir veröffentlichen in 10

Tagen, wir haben einen Decrypter, wir
wollen in diesem Beispiel 100 Millionen,

ja. Hab jetzt einfach mal 100 genommen,
damit ihr ungefähr die Relationen sieht,

die die Verhandlung betreffen. Und man
sagt natürlich erstmals, Junge, Beweis du

doch bitte erstmal dass du die Dateien
hast ja, also vorher stellt man sich

erstmal so ein bisschen doof, es ist auf
jeden Fall klug irgendwie so ein paar doofe

Sachen zu fragen ne, was ist BTC irgendwie
sowas um den irgendwie zu vermitteln, dass

man relativ dumm ist, ja? Man sagt dann
so, ok, aber Beweis doch mal bitte dass Du

die Dateien hast, dann sagen die kein
Thema, hier ist die Liste ja und dann

kriegt man so ein Output von tree oder
find oder was auch immer ja? Und dann

sagen sie such dir drei Dateien aus, die
schicken wir dir ja, das heißt sie geben

dir die komplette Liste, du kannst dir
drei aussuchen, die kriegst du zurück und

damit beweisen sie dass du dass sie diese
dass Sie alle Dateien haben ne. Hier ist

deine x Doc X Y xlsx und zxe, das Gute ist
die die Liste der Dateien kriegst du für

umme ja und die brauchst du um den Schaden
abzuschätzen, der beispielsweise bei einer

Veröffentlichung droht, potenziell aber
z.B auch für die dsgvo Meldung also diese

die Liste an Dateien gibt's kostenlos und
in vielen Fällen selbst, wenn man gar

keine Absicht hat zu bezahlen, lohnt es
sich die sich zu organisieren ja?

Kostenlose Leistung, die man hier kriegt.
viele lachen

Und dann sagt man sowas wie du weißt du,
wir stellen gerade von Tapes wieder her

das dauert zwar ein bisschen, aber
eigentlich sind wir hier guter Dinge. Dann

sagen die, stell dir mal vor wenn wir das
alles veröffentlichen und man sagt so ja

eigentlich ist da jetzt nichts großartig
kritisches dabei! Wir verkaufen das an die

Konkurrenz! Auch immer ein sehr spannender
Fall, ja, wenn man diese Gespräche führt

ja und die Betroffen Unternehmen sagen, oh
mein Gott die verkauft das an die

Konkurrenz, oh mein Gott die Verkauf das
an die Konkurrenz, wenn man sagt ok, pass

auf, ich mache euch ein Angebot, ich gebe
euch die Daten von der Konkurenz. Das

werden wir nie machen! Ja okay aber eure
Konkurrenz haltet ihr für so verkommen

dass Sie von irgendwelchen Gangstern für
Bitcoin eure Daten kaufen gelächter?

Also sagt man, kannst du gern probieren
wir gehen eigentlich nicht davon aus dass

sie dir da sonderlich viel Geld für geben
ja? Außerdem muss man tatsächlich sehr

traurigerweise sagen die Veröffentlichung
bringt meist einen sehr geringen Schaden

für dich selber. Weiß auch der Gründer und
CE von Motel One, Dieter Müller der sich

nachdem dem Motel One gebreached wurde und
alle Kundendaten ins Internet gegangen

sind, geweigert hat mit den Leuten zu
verhandeln und eventuell diesen Schaden

von den Kunden abzuwenden ja? Der Mann hat
geringe Ansprüche an sich selbst und hohe

Ansprüche an den Staat, denn an der
gesamten Misere ja dass alle Motel One

Kunden jetzt mit übernachtungsdaten und
allem im Internet stehen, ist natürlich

der Staat schuld, denn der Staat hat noch
keinen Weg gefunden seiner staatlichen

Hoheitsaufgabe gerecht zu werden und seine
Bürger und Unternehmen vor kriminellen

digitalen Angriffen zu schützen.
Einzelne Applaus

Kann natürlich jetzt auch nicht seine
Schuld sein. Wie ich habe schon gesagt,

der Mann hat geringe Ansprüche an sich
selbst, hohe Ansprüche an den Staat,

Coronazeiten waren irgendwo im Bereich 100
Millionen Coronahilfen, die der

eingestrichen hat, dadurch hat Motel One
am Ende seine Geschäftsergebnisse

signifikant verbessern können und er hat
noch ein paar Interviews gegeben, dass das

eine Frechheit wäre und zu wenig.
Gelächter

Aber tatsächlich mal ne, man muss
tatsächlich sagen Motel One hat de facto

keinen Schaden dadurch, dass diese Daten
veröffentlicht wurden. Irgendwann ich

glaube es war man sieht es im Bild 2021
wurde extensure gebridged von Lockbit und

das vll natürlich sehr interessant, also
haben wir auf dem Lockbit Block so den

Countdown geguckt und so ne und dann
wurden irgendwann die Daten von extenser

veröffentlichicht da hat man sich ja dann
doch mal für interessiert, das war aber

total so ein Einzeldownload ja, du
konntest jede Datei einzeln, das war total

unsortiert umständlich zeitaufwendig ja
und die wurden auch immer wieder offline

genommen und dann wurde die Deadline
verlängert wann die released werden und

irgendwie sind sie jetzt nicht mehr zu
finden. Ich denke warum die Angreifer so

und nicht anders veröffentlichen ist ganz
klar, in dem Moment wo sie vollständig

veröffentlichen, haben Sie Ihr Kind mit
dem Bade ausgegossen, es wird Niemand mehr

bezahlen. Wenn sie aber so scheibchenweise
veröffentlichen, können sie potenziell

noch weiter erpressen und dich doch
überzeugen denen etwas Geld zu geben. Denn

für sie ist das ja eine Alles oder Nichts
Situation und diese Dateien zu

veröffentlichen, dann haben sie halt statt
irgendwie potenziell Millionen einfach nur

ein mahnendes Beispiel für den nächsten
und ein Fall, wo ich wieder erzählen kann,

eigentlich kein Schaden entstanden. Wir
haben auch darüber gesprochen, das nennt

man dann also die Angreifer wollen Druck
erhöhen ja, sie machen inzwischen auch mal

die Meldung an an die Behörden für dich
ja, auch da natürlich einfach um den Druck

zu erhöhen, weil Druck ist alles was die
haben, oder sie belästigen die Leute die

nicht zahlen ja, rufen dann z.B dort an
oder lassen dort anrufen oder erpressen

eben die Kunden um den rufschaden
irgendwie zu maximieren. Also die Gruppen

arbeiten daran diesen Rufschaden zu
vergrößern. Ja in unserem Beispiel sagen

wir mal, wir würden jetzt irgendwie in
Richtung einer Zahlung uns orientieren,

dann sagen wir Bruder, wie sollen wir dir
überhaupt vertrauen? Und dann sagt er, mein

Freund wir sind die CyberSwan Gruppe,
google uns, wir haben fünf Sterne auf yelp!

viele lachen Und es ist es ist natürlich
wirklich wichtig für diese Mechanik der

Verhandlung zu wissen, die müssen auch
ihren Ruf schützen. Wenn die euch

betrügen, dann wird das ja bekannt und
dann zahlt ihnen niemand mehr. Das heißt

Vertrauen ist für die eine entscheidende
Sache ja? Außerdem haben die auch den

ganzen Rest des Internets noch vor sich,
dass sie jetzt ein zweites Mal dich

erpressen ist eher unwahrscheinlich. Aber
dann sagst du so was wie ja boah das mit

den Tapes kennt sie ja dauert ey... pass auf
wir zahlen dir 25 Dann kommen wir wollen

100 und du hast noch 7 Tage danach wird es
teurer und dann denkst das ist natürlich

jetzt auch wieder dieses Druck ne? Wir
wollen mehr Geld später und dann sagst du

ja pass auf Alter in 7 Tagen sind wir
fertig, du kannst mir hier maximal 50

Millionen sparen, das muss aber auch
irgendwie businesscase für mich sein ich

zahle dir 40 ja? Dann sagen die wir wollen
70, das unser letztes Angebot, es gilt nur

24 Stunden und dann sagst du sowas wie, ey
Junge, je länger das hier dauert, umso

weniger ist deine Dienstleistung für mich
Wert, ich stell ja hier gerade von Tapes

wieder her. Und das ist der entscheidende
Punkt in diesen Verhandlung für die

Angreifer geht es um alles oder nichts,
also die stehen vor einer Situation dass

sie entweder von dir Geld bekommen oder
gar nichts und dann haben Sie noch die

Kosten dass sie deine Daten
veröffentlichen müssen und genau da musst

du diesem Druck wiederstehen, der
zeitliche Druck wird von denen nur deshalb

angebracht, weil sie also weil sie wissen,
je länger Du nicht zahlst desto

unwahrscheinlicher zahlst du. Insofern ist
das durchaus sinnvoll in einer solchen

Situation , wenn du die Zeit hast, auch
tatsächlich auf Zeit zu spielen, weil die

wissen, je länger der Spaß hier geht, umso
unwahrscheinlicher zahlst du. Na gut dann

kommt irgendwie so was, ja 60 Millionen weil Du
es bist, letzte Preis ja? lachen Und dann sagst

du, das ist der Moment den die Kunden
meistens nicht wollen, ja? Dann sagst mal

ok tut mir leid, ich erkläre die Behandlung
für gescheitert, hätte hier eine Win-Win

Situation werden können, aber na ja
vielleicht beim nächsten Mal.

viele lachen

Und dann kommt, ok lass mich mal mit dem
Boss reden.

viele lachen

Du verhandelst jetzt mit dem Level One
Customer Support! Und der hat klare

Grenzen und erst wenn der mit jemand
anders reden muss über den Deal, den er dir

machen kann, merkst du dass du vielleicht
langsam in einen Bereich kommst der

vielleicht für dich auch interessant ist
ja? Natürlich kann auch das ein Spiel sein

aber in diesem Fall werdet ihr gleich
sehen war es nicht, es gibt einen Boss.

Dann kommt eben so was her: ok 50%
allerletzte Preis ja und dann sagst du

sowas eh, woher weiß ich dass du die Datei
überhaupt wieder herstellen kannst? Ja

auch das erst ganz am Ende machen, weil
das ja ein Interesse überhaupt

signalisiert. Also die Prüfung, dass Sie
Dateien wiederherstellen können. Jede

Ransomware Gang bietet dafür an, schick
mir zwei Dateien mein Freund, entschlüssel

ich dir, kriegst du zurück, schickst Du ja
hier ist A encrypted und B encrypted und

dann schickt er dir die entschlüsselten
Dateien zurück. Das ist ein sehr wichtiger

Schritt den man keinesfalls vergessen
darf! Du musst dich vergewissern, dass

dein Freund die Dienstleistung auch
wirklich erbringen kann, sonst riskierst

du mit diesen Leuten hier zu tun zu haben.
Das war wannacry, ihr erinnert euch, die

ganze Ransomware hat in der Welt nur drei
Bitcoin Adressen angegeben und, als ich die

doppelten Screenshots gesehen habe mit dem
gleichen Bitcoin Wallet, war mir auch

sofort klar, die werden die Zahlung nicht
zuordnen können, hier besteht keine

Absicht der Wiederherstellung. Und war ja
auch bei Wannacry nicht so. Also wichtig

sicherstellen und erst spät sicherstellen,
weil damit signalisierst du überhaupt

Interesse an der ernsthaftes Interesse an
der Wiederherstellung. Und dann kommen die

klugen Leute und sagen, hey Vorsicht wenn
du zahlst, dann hacken sie dich direkt

wieder. Und das ist aber Quatsch, übrigens
hier das ist also auf dem Sixpack steht

Mythos auf dem nächsten Sixpack steht
Realität, aber dol i kann nicht so gut

schreiben wie ich. Die Realität ist
lächeln

der Rest des Internets wartet auf Sie, die
haben überhaupt gar keinen Grund noch mal

dich zu hacken, die geben auch übrigens
Garantien dass diese Ransomware Gang dich

nicht noch mal hackt. Es gibt aber genug
Andere! Also früher oder später musst du

dich schützen und ich kenne mehrere Fälle
in den die CEOs oder der Vorstand, oder

sonst was nach der Zahlung gesagt hat,
jetzt haben wir es hinter uns lehnt euch

zurück, fahrt die Systeme wieder hoch,
alles rein ins ad und den MySQL Server in

die Cloud und gebt ihm. Und kurze Zeit
darauf war das Geschrei groß, ja? Also ihr

kommt sowieso nicht drum herum euch besser
zu schützen, am besten macht ihr das bevor

ihr den Case habt, aber egal ob du zahlst
oder nicht, die Anderen werden kommen, ja?

Du hältst dir eine von 100 Gangs vom Leib
und dummerweise machen die nicht so eine

Garantie wie Schutzgeld, dass sie sagen
pass auf wenn die anderen Gangs kommen

dann prügeln wir die raus oder so.
lachen

Na ja dann sagen Sie, hier ist unser
unsere Bitcoin Wallet ja die nehmen

üblicherweise eine frische, brauchen sie
auch damit sie erkennen, dass die Zahlung

von dir ist. Du nimmst üblicherweise eine
frische und schickst mal ein satoschi

rüber, ja? Achtung, das ist interessanter
Moment, weil dann sehen die wie viel Geld

auf deinem Wallet liegt. Ja in dem Moment
beweist du, dass du über ein über eine

Summe verfügst. Es kann also durchaus auch
interessant sein an der Stelle vielleicht

doch nur 40 da liegen zu haben statt der
50 und zu sagen hey Scheiße, Freitagabend,

du weißt wie das ist, neh, ich habe jetzt
echt nicht... viele lachen

Dann sagen sie, ist angekommen und dann
schickst du den Rest und jetzt kommt sehr

ein sehr wichtiger Hinweis, bezahle nur,
wenn du ein Business Case hast. Du hast

meistens keinen, das Einzige, was hier eine
Rolle spielt ist, dass deine

Wiederherstellung potentiell schneller
geht. Alle sonstigen Folgekosten, die

Systeme härten, die Systeme desinfizieren,
Dinge maximal neu aufbauen, eine komplette

Renovierung deiner Infrastruktur, die
Kosten hast Du ohnehin, die hast du auch

jetzt schon vor dir, weil du es e machen
musst entweder bevor du gebreacht wurdest

oder danach. Das heißt du musst diesen
Case wirklich sehr genau durchrechnen

bevor du in Erwägung ziehst eine solche
Zahlung vorzunehmen. Wenn du es dann

gemacht hast, kommt sowas wie Yow, wir
haben deine Dateien gelöscht, hier ist das

deletion Lock, also das Output von rm-RF.
Das sieht dann so aus, und Linus lächelt

ich meine, die haben sogar ihre local
language auf Russisch eingestellt, ja?

Also man sieht hier unten die Translation
für gelöscht und Verzeichnis gelöscht also

ein Output von rm-RF. Und dann sagen Sie
yoh, wir bereiten jetzt dein Decrypter

vor.
einzelne Gelächter

Und man denkt so, bei den anderen geht das
eigentlich immer relativ schnell. *Linus

lächelt* So nach einer Stunde fragt man
mal nach und dann kommt, eh ich kann den

Typen nicht erreichen, hab mal kurz Geduld
bitte Lachen und dann kann das

manchmal ein bisschen dauern und dann
kommt hey, hier ist der Decrypter,

sorry der Typ war draußen einen
saufen, Ja? video läufzt, alle lachen

Und an dieser Stelle zeigt sich, du
würdest dem Level One Support auch keinen

Schlüssel geben, der Millionen wert ist,
weil dann machen sie side Deals ja? Dann

verkaufen die den Schlüssel über ihre
eigene Konten. Klüger hat das LV gemacht,

blackcat be denen war das so, die haben
quasi also auf Ihrem Server war das

Bitcoin Wallet direkt angegeben und hat
das immer gepollt, ja? Und das heißt auch

die Veröffentlichung von den decryption
Tools und deinem Pentestbericht erfolgte

automatisch, so haben die den Key von den
von ihren Verhandlern weggehalten. Bei

dieser Gang die ich hier im Beispiel hatte
war es eben so, dass sie manuelle

Interaktion oder oder direkte Interaktion
mit ihrem Chef brauchten und die hatten

halt echt nicht dessen die Nummer, nah?
Die können halt auch nur mit dem über

diesen Chat kommunizieren, aber ich bin
ehrlich die Stunden bis wir den Decrypter

hatten waren etwas weniger entspannt, auch
wenn ich mir relativ sicher war, dass sie

die Zahlung machen würden. Und Kai kann
noch mal ein bisschen was darüber reden,

wie es dann auf der anderen Seite
aussieht.

Kai: Wir machen noch mal ein kleinen
Exkurs zu den Leuten, die auf der anderen

Seite sitzen. Das interessante an diesen
Modellen ist, wir kommen auch gleich noch

zum Level 1 Support. Das interessante an
diesen Modellen ist dass sehr viel

outgesourced ist, wie in der Wirtschaft
auch an sogenannte Affiliates, da ist

Einer. Das sind Menschen die sozusagen auf
eigene Rechnung für irgendeine Ransomware

Familie arbeiten und ihre Beute teilen,
die Deals sind meist 75% für diese

Menschen, 25% oder 20% für die Gäng
dahinter, die Vermieter den wir vorhin

gesehen haben. Das hier ist Sebastian
Vahoung, ein Kanadier inzwischen

verurteilt. Der hat für Networker
gearbeitet, wieder eine sehr große Familie

und war der eifrigste Affiliate von
Networker. Der hat dutzende Angriffe

gefahren und allein er hat 1400 Bitcoin einge-
sammelt mit diesen Erpressungen, damals

27 Millionen Dollar. Jetzt fragt man sich,
wer ist so ein Mensch, ja? Dem ging es gar

nicht so schlecht, das war sein Häuschen
schon vorher, der wohnte da. In der Nähe

von Ottawa war nettes kleines Häuschen,
sieht ganz gemütlich aus, der war

Computertechniker Universität Ottawa, aber
der war so der Typ Kleinkrimineller der

irgendwie so ein bisschen mehr will vom
Leben als das was ihm sein dayjob bietet.

Der ist auch schon mal mit Drogendelikten
aufgefallen, hat 123 kg Marijana vertickt

viele Lachen

Kleinkram. Und ja das war dann beim
Verhör, da war er nicht mehr so... Ich

fand den Fall sehr interessant, ich habe
ihn ein bisschen zugeguckt man konnte

durch dann Corona konnte man der
Gerichtsverhandlung im Internet folgen,

wenn man so ein Link sich geholt hat von
den Behörden dort und ein stiller

freundlicher nicht blöder Mensch wie
gesagt, ich glaube er wollte ein bisschen

mehr vom Leben, das wird er jetzt nicht
mehr kriegen. Und er ist auch deswegen ist

er hier in der Sammlung ein Beispiel dafür
dass die Täter Fehler machen. Auch das

finde ich wichtig, die sind nicht
unfehlbar. In dem Fall hier war das FBI in

der Lage, wieder das FBI, die sind sehr
aktiv seit einigen Jahren. Die Stufen

Ransomware auf der Höhe von Terror ein in
was ihre Ermittlung angeht inzwischen, nur

so zur Wichtigkeit, das FBI hat den Server
geknackt auf dem die Networker Leute mit

ihren Affiliates geredet haben, neh die
müssen ja reden miteinander, ich war hier,

ich war da und diese Affiliates die müssen
belegen dass sie irgendwo eingebrochen

sind, dazu laden Sie Screenshots hoch der
kopierten Daten, und in einem dieser

Screenshots waren Metadaten. Screenshot
2.png enthielt Metadaten und in Metadaten

stand Sebastian Vahoun. Passiert den
besten von uns. Außerdem nutzte er für die

Kommunikation mit diesem Server zwar eine
anonyme E-Mail Adresse, war aber zu faul

die auch anonym abzurufen, sondern sendete
sich die E-Mails weiter an seine private

Mailadresse.
viele Lachen.

Über die auch seine amazon Bestellungen
liefen, so dass das FBI sofort auch seiner

Adresse hatte.
einzelnes Lachen

Passiert im besten. Ja also die müssen
miteinander reden, ganz kurz, die brauchen

irgendeine Infrastruktur um zu
kommunizieren und das meist der Ort, wo sie

angegriffen werden von Ermittlern.
Übrigens Sebastian Vahoug sitzt jetzt für,

20 Jahre in den USA, danach dann noch drei
Jahre Bewährung und ich glaube dann muss

er noch die Freiheitsstrafe absetzen, die
er in Kanada noch egal länger. So, also

diese Leute bilden Banden, die Sourcen
aus, die sind relativ organisiert und es

sind ganz normale Menschen, ja, keine
Götter, keine Superhacker. Das sind

normale Menschen die Fehler machen. Und
diese Arbeitsteilung dieser Band geht

sogar noch viel weiter, hier seht ihr die
unterste Ebene, hier seht ihr den Level 1

Support. Das ist Alla Witte, eine, ich
bedauere sie fast, inzwischen. Eine Frau,

die in der Sowjetunion geboren wurde, sie
hat dort mal Programmiererin für

Funktechnik gelernt, sie ist inzwischen 57
Jahre alt, hat ein bisschen Pech gehabt im

Leben, verwitwet, hat mit Scientology zu
tun egal. Jedenfalls sie schlug sich so

durch mit dem Programmieren von Websites,
lebte in Surinam zu dem Zeitpunkt und

programmierte auch für kleine Unternehmen
so ein bisschen HTML und solche Dinge und

dann bekam sie ein Jobangebot 2017 von
einer russischen Softwarefirma, so sagt

sie es. Ja mit der konnten wir auch reden.
Dann gab's so ein Einstellungstest online,

da musste sie so ein paar technische
Fragen beantworten, den hat sie bestanden

und dann hat man ihren Job angeboten, hat
gesagt, pass auf 800 € im Monat kannst du

von uns haben und dafür machst du hier so
Entwicklertätigkeiten. Kam ein kleines

Team mit neuen Leuten und die kannten sich
alle nur über jabber. Und ihr Job war es

dann, und da fingen sie dann doch an
drüber nachzudenken, ob das das richtige

ist, sowas zu programmieren, nämlich
Webseiten mit der Benutzeroberfläche auf

der dann steht "ihr Computer ist
infiziert". Kai lächelt Entschuldigung

das wieder eine von dolies Erfindung, aber
ich fand sie sehr hübsch. Und die

Softwarefma, für die sie dort gearbeitet
hat war Conti, eine der größten und

organisiertesten Ransomware Banden die die
Welt bislang gesehen hat, oder die größte

und organisierteste, und ja Alla Witte war
wie gesagt relativ unbedarft am Anfang,

das glaube ich ihr sogar, weil bei Jabber
hat sie sich noch angemeldet mit ihrem

echten Namen Alla Witte, also den Jabber
Server wo die Gang miteinander

kommunizierte und der dann später geleaked
wurde durch ein ROG Mitglied dieser Bande,

so dass ihr Name relativ schnell klar war
deswegen, war sie auch die erste die

Probleme bekam. Also sie war in Surinam
und eines Tages stand die Polizei von

Surinam vor ihrer Tür und sagte, sorry wir
nehmen Sie jetzt mit, ihr Visum ist

abgelaufen und ihre Computer und so
sammeln wir auch alles ein und wir

schicken sie zurück nach Lettland, wo sie
herkam. Sie sind hier nicht mehr

erwünscht, ja. Der Flug landete dann
seltsamerweise in Miami zwischen, da stand

dann wieder das FBI und nahm sie mit in
ein Gefängnis nach Ohio. Und da blieb sie

relativ lange, weil das FBI glaubte okay
wir haben hier sozusagen die Hacker Queen,

die kann uns was über Conti erzählen, das
war vor dem leack. Nah, das FBI hat sie

vorer gefunden und hoffte, sie kann ihn
viel verraten, aber sie kannte echt nur

die neun Leute aus ihrem Team, das waren
alles kleine freischaffende

Softwareentwickler, System Admins , die
sich ein bisschen was dazu verdienen

wollten. Sie konnte ihnen nicht viel
sagen, deswegen saß sie zwei Jahre dort im

Knast ohne Prozess. Und es passiert
einfach nichts, in der Zwischenzeit kam

der Conti Leak und alle Welter erfuhr
über diese Gang. Inzwischen ist sie

freigelassen worden aus den USA, ist
wieder zurück jetzt wieder in Lettland in

Riga. Die meisten Vorwürfe wurden fallen
gelassen, außer einer Verabredung zum

Computerbetrug, aber das also es reichtte
nicht um sie weiter festzuhalten, wie

gesagt sie lebt in Riga, sie tut mir
wirklich etwas leid. Inzwischen geht sie

putzen. Das ist, ihr seht hier so die
Struktur, von Conti das ist die unterste

Ebene dieser wirklich organisierten Gang
und wir reden hier über die die Profis der

Branche. Die hatten alles, die hatten
Chefs, die sich darum kümmerten Büros

anzumieten in denen die Leute wirklich von
8 bis 5 gearbeitet haben, ja, die kamen

da. Die wurden über Foren angeheuert und
für day Jobs und die waren wie eine Firma

organisiert. Ich zeige euch gleich noch
zwei Mitglieder davon aus dem

Führungsebene. Bis heute sind nicht alle
identifiziert, vor Allen nicht der Kopf

der Bande Stern, der ist nur unter diesem
Händel bekannt, ich soweit ich weiß weiß

bis heute niemand wer das ist, das ist ein
Zeichen dafür dass es schon auch sehr

fähige Kriminelle in diesem Bereich gibt
aber es sind Wenige. Und wenn ihr so wie

Linus mit diesen Leuten zu tun habt, habt
ihr nicht mit diesen Leuten zu tun

niemals, also die machen sich die Finger
da nicht mehr mit schmutzig, sondern es

ist wie gesagt der Level 1 Support, aber
es ist auch ein Beispiel, ja diese Banden

machen Fehler, aber ja Sie können auch gar
nicht so schlecht sein, wenn man Pech hat.

Noch ein paar Gesichter, hier ist einer
der Manager Maxim Galochkin, hat ein paar

Softwarefirmen, ist pleite gegangen, kommt
aus Abakan in Russland, lebt da glaube ich

noch immer, soweit zum seine Social Media
Profile das hergeben. Der war zuständig

dafür, dass also die haben alle
Virencanner, die es auf dem Markt gab,

sich so besorgt und er musste testen ob
ihre Schadsoftware da durchgeht idR

Evasion heißt das habe ich mir sagen...
L: idR Evasion, ja.

K: Der baut auch den Cryptolocker, also
die Daten verschlüsselt, also sein Team.

Er war Teamleiter und Manager, ja Maxim
wandert gern, der hält nichts von

Covidimpfung, ist ein großer Putin Fan und
Verteidiger des Ukrainekrieges oder das

Kriegs des Angriffs auf gegen die Ukraine
und Anhänger irgendeines komischen

Gurus. Letztlich ein ganz normaler Mensch.
viele Lachen

ist in Abwesenheit angeklagt in den USA,
weil er Teil von Conti sein soll. Hier ist

noch einer eine Ebene tiefer ein
Teamleiter Oleg Kugarov aus Tolyati bei

Samara, 50 Jahre alt. Ich finde den
interessant, den man, weil also er nennt

sich selber reverse engineer und male
Analyst und scheint schon länger in der

Branche zu sein, also länger als Andere,
viele Andere kommen wirklich aus legalen

Bereichen und suchen verzweifelt einen
Job. Viele können auch kein Englisch und

finden in englischsprachigen Industrien da
ja keinen Job, also man könnte ja auch

remote arbeiten und finden kein Job, sie
können halt nur russisch und gehen dann zu

einer russischen Softwarefirma. Ja Oleg
verkauft z.B Zero days im Darknet,

zumindest habe ich so ein paar Hinweise
darauf gefunden und, was ich auch

interessant finde, der hat sich schon 2014
bei hacking Team beworben. Hacking Team

war hier beim Kongress schon ein zwei mal
Thema. Das war eine recht berüchtigte

Firma die Späsoftware herstellte und von
Finineas Fischer aufgebohrt und aus dem

Wasser geblasen wurde, und für Konti hat
er Leute angeworben und geführt als

Teamleiter ja. Er grillt gern, er hat ein
shibaainu, Namen Simba, ein kleines

Häuschen, man sieht ih da in seiner
Straße. Wie ernst diese Gangs sind, sieht

man unter anderem daran, dass die USA
bereits sind 10 Millionen Dollar zu zahlen

für Hinweise, auf die noch nicht bekannten
Mitglieder. Das ist schon ein Haufen Geld

und es heißt dass diese Branche bis heute,
die ganze Welt in Atem hält und kaum einen

interessiert es. Und wie gesagt ich finde
das immer noch seltsam. Noch dazu also

Konti hat sich nicht hat sich selber
zerlegt, neh. Das war nicht Ermittler, das

hat nicht geholfen Alla Witte da
einzusperren, sondern die haben sich

selber ruiniert. Und ja Linus wird jetzt
noch mal einen kurzen Vortrag über die

Lehren daraus halten.

Linus lacht

L: Also was ich noch mal sehr wichtig
finde, ist, ihr seht die leben dann

verhältnismäßig entspannt ja? Also wenn
man überlegt dass Konti war mal, blackhead

wurden irgendwie so um die also
üblicherweise werden immer so Einnahmen im

im 100 Millionen Bereich kriegen die hin
bis sie bis sie hochgehen ja. So ungefähr

das ist so die Region, wenn man sich das
anschaut. Und so viel Geld scheinen die

Leute an der Spitze ja auch nicht zu
haben, ich denke Kriminalität lohnt sich

vor allem wegen der Nebenkosten nicht, ja?
Also du hast, wenn du wenn dieses Geld

übergeht auf das auf das Wallet geht,
dauert wenige Minuten bis es von dort

verteilt wird auf viele tausend einzelne
wallets, also findet so ein

Geldwäschevorgang statt. Früher gerne von
Tornado Cash gemacht, heute vermutlich von

Anderen, weil der Betreiber von Tornado
Cash ja im Knast sitzt und keine Zugriff

mehr auf seine Systeme hat. Die müssen
sich in ihrer Interaktion sicher sein dass

es Menschen gibt die lieber 10 Millionen
haben können, wenn sie verraten wer Sie

sind, und das führt dazu, dass du auch
echt extrem, sag ich mal dein

Freundeskreis wird sehr teuer, ja, weil du
sicherstellen musst, dass jeder von denen

keinen Grund findet sich die 10 Millionen
zu holen. Also es ist eigentlich insgesamt

dann doch glaube ich kein Lebensstil der
sich empfiehlt, das nur noch mal am Rande.

Kommen wir zum Fazit. Wir wissen, wie die
Angreifer vorgehen und wie man sich

schützt von Conti. Wir haben es nicht in
dem Leak, die haben ein Manual die haben

halt Probleme gehabt Nachwuchs zu finden,
haben sie ein Buch geschrieben so ein

kleines PDF, wie man jetzt musst du da
klicken und dann musst Du hier ne Blatt

hauen und dann guckst du da und dann
kürzester Weg zum Domänenadmin, da musst

du das machen, da musst Du hier Mimicuts
und das ist alles drin, ja? Die Angreifer,

also du brauchst sowieso ein
Wiederherstellungskonzept, solange wir den

dieses diesen Sumpf nicht trocken legen,
dass wir gezwungen sind zu zahlen, werden

die das weiter tun, da hilft auch kein
Verbot der Zahlungen. Die Angreifer

verlieren aber auch alles, wenn Du nicht
zahlst. Also wenn du in der unglücklichen

Situation bist, in der du niemals sein
willst, stell ihn glaubhaft in Aussicht,

dass sie gar nichts bekommen, das ist der
einzige Weg den Preis nach unten zu

drücken. Sie wollen Druck erzeugen, beuge
dich dem Druck nicht und nehm ihn die

Druckmittel. Also wann immer die sagen,
hier Tage und so weiter, sagst du einfach

moment mal, neh, also mach mal ein
bisschen länger, also ehrlich gesagt keine

Ahnung, also auf Zeit zu spielen, macht
bei Ihnen den Druck, dass sie das Geld

nicht bekommen. Sie müssen einen Ruf
pflegen. Dich zu betrügen schidet ihn also

mehr, als es ihnen selbst nützt, ja? Also
es wäre für die, ist es günstiger einfach

den nächsten zu hacken und ihr Glück da zu
probieren, als dich noch mal zu hacken.

Das heißt aber nicht, dass es Andere nicht
tun. Ja also bitte bitte bitte, ihr müsst

euch so oder so schützen! Die Liste der
extrahierten Dateien gibt's kostenlos, die

brauchst du für die DSGVO Meldung, schadet
nicht sich die abzuholen. Auch wenn du

zahlst, hast du hohe Folgekosten, du musst
dich sowieso noch schützen und du du musst

dich auch vergewissern, dass du wirklich
ein Business Case hast. Meistens hast du

den nicht, deswegen drücken die ja so bei
der Zeit, weil sie wissen, je länger du

über die Situation nachdenkst, umso mehr
Möglichkeiten dich da selber rauszuheben

findest du und umso besser geht's dir und
so wahrscheinlicher ist es, dass sie ihr

Geld nicht kriegen. Die Angreifer sind
nicht unfehlbar und trotzdem brauchst du

ein Wiederherstellungskonzept, so oder so
und zwar jetzt. Übrigens zum Thema

unfehlbar, hat mein Kollege Tobias heute
ne gestern einen Vortrag gehalten, der hat

den Titel unlocked recovering Files taken
hostage by Ransomware, weil wir als

kleiner Nebenaktivität unserer Aktivitäten
in diesem Bereich noch ein Decrypter

veröffentlichen. Dieser Talk ist Teil
einer Reihe, sie begann mit Hirnehaken,

sie ging weiter mit Disclosure Hack und
hackback von Kantorkel Dominik und mir

beim Camp. Sie hatte einen Höhepunkt
gestern mit Unlocked! dem Release des

decrypters für blackbuster von Tobias und
sie findet hoffentlich hier Ende mit

hierirner Hacken hackback Edition von Kai
Biermann und mir, weil damit sollte jetzt

zum Thema hoffentlich alles gesagt sein,
vielen Dank.

Applaus

Musik

K: Danke!
Herald: Wunderbar, super ja vielen Dank an

Linus und Kai.

37c3 Nachspannmusik

Untertitel von vielen vielen Freiwilligen und dem
C3Subtitles Team erstellt. Mach mit und hilf uns!