Internationale Strafverfolger haben zusammen mit Microsoft den virtuellen Hoster RedVDS vom Netz genommen, dessen Infrastruktur für verschiedene Betrugstaten genutzt worden sein soll. Herzstück des von IT-Kriminellen frequentierten Dienstes soll ein Rechenzentrum in Deutschland gewesen sein.

Ab 24 US-Dollar monatlich bot RedVDS virtuelle dedizierte Server und internationale IP-Adressen sowie weitere anonyme Dienstleistungen an. Das Angebot wurde nach Erkenntnissen Microsofts und der Strafverfolger für zahlreiche Betrugsfälle genutzt. Nach der Tat werden die Server gelöscht und erschweren damit die Ermittlungen.

„Digitales Tatmittel“

„Dieses Angebot war darauf ausgerichtet, Cyberkriminellen ein digitales Tatmittel an die Hand zu geben, um hierüber die weitgehend anonyme Begehung von Straftaten zu ermöglichen“, heißt es in der Erklärung der Zentralstelle für Internet- und Computerkriminalität (ZIT) bei der Generalstaatsanwaltschaft in Frankfurt und des Landeskriminalamts Brandenburg.

Ein physischer Standort von RedVDS war in einem Rechenzentrum in Deutschland. Dort haben die Behörden Server beschlagnahmt. Laut dpa steht das Rechenzentrum in Limburg an der Lahn. Tatverdächtige wurden nicht festgenommen. Sie werden in einem nicht näher bezeichneten Nahost-Staat vermutet.

Microsoft nennt die Gruppe, die RedVDS betreibt „Storm-2470“. Die Plattform sei von zahlreichen anderen beobachteten Akteuren genutzt worden, sagt eine Analyse des Konzerns.

Phishing und Boss-Betrug

Nach Angaben von Microsoft wurde die Plattform von Red VDS „für unterschiedlichste Zwecke” eingesetzt, darunter der massenhafte Versand von Phishing-E-Mails oder das „Hosten von Scam-Infrastruktur”. Innerhalb eines Monats sollen Täter über mehr als 2600 virtuelle Maschinen von RedVDS durchschnittlich eine Million Phishing-Nachrichten pro Tag an Microsoft-Kunden geschickt haben.

RedVDS soll dabei auch für die derzeit beliebte Masche des Zahlungsumleitungsbetrugs eingesetzt worden sein. Dabei verschaffen sich Täter per Phishing Zugang zu den Computersystemen ihrer Opfer, um sie auszuforschen. Bei bevorstehenden Zahlungsvorgängen etwa von Unternehmen oder Immobilienmaklern können sie sich dann überzeugend als Beteiligte ausgeben und Rechnungen fälschen sowie Zahlungen umleiten.

„RedVDS ist ein Online-Abo-Dienst und Teil des wachsenden Cybercrime-as-a-Service-Ökosystems – einer Schattenwirtschaft, in der IT-Straftäter Dienstleistungen und Werkzeuge kaufen und verkaufen, um Angriffe in großem Maßstab durchzuführen”, erklärt Steven Masada von Microsofts Digital Crimes Unit.

Millionenschaden nur „Spitze des Eisbergs“

Laut Microsoft war RedVDS als Plattform an einem der größten Betrugsfälle der vergangenen Jahre beteiligt. Allein in den USA sei in den vergangenen sieben Monaten ein Schaden von 40 Millionen US-Dollar (34,3 Millionen Euro) entstanden. „Das ist aber nur die Spitze eines Eisbergs“, sagte eine Sprecherin der dpa.

Zu den Geschädigten gehörte zum einen das Arzneimittelunternehmen H2 Pharma aus dem US-Bundesstaat Alabama, das um 7,3 Millionen Dollar betrogen wurde. Betroffen war auch eine Wohnungseigentümergemeinschaft in Florida, die um fast 500.000 Dollar erleichtert wurde.

„Microsoft ist H2 Pharma und der Gatehouse Dock Condominium Association sehr dankbar, dass sie sich gemeldet und ihre Erfahrungen mitgeteilt haben”, betonte Masada. „Ihre Zusammenarbeit hat diese Maßnahme erst möglich gemacht.“

Die deutschen Ermittler gehen von Hunderten Geschädigten in Deutschland aus, in Brandenburg von einer unteren zweistelligen Zahl. Das LKA Brandenburg leitet die Ermittlungen.

Ermittler nehmen verstärkt die Online-Infrastruktur Krimineller ins Visier. Im vergangenen November konnte die niederländische Polizei einen sogenannten Bulletproof Hoster zerschlagen. 2019 war Deutschland Schauplatz einer spektakulären Razzia im Cyberbunker. Dessen Betreiber wurden inzwischen rechtskräftig zu Haftstrafen verurteilt.

(vbr)

Ein Leser hat uns kontaktiert und einen konkreten Fall auf einem Marktplatz geschildert, der Unternehmen und Freelancer zusammenbringt. Dort erhielt er ein Jobangebot, das mit einem Zugang zu einem Git-Repository versehen war. Ein beim Start des Projekts aufgerufenes, unscheinbares Node-Script lädt dann Schadcode nach und verankert diesen persistent im System.

Das Klonen des beim Jobangebot mitgeteilten Repositories ist noch harmlos. Erst beim Starten, etwa mittels „npm run“, kommt das bösartige Skript zur Ausführung. Der Analyse des Lesers zufolge lädt das Node-Script mittels HTTP JavaScript-Code aus dem Netz nach. Den wertet es mittels eval() aus – das übersetzt eine übergebene Zeichenkette in Code, der schließlich ausgeführt wird und sich im Benutzerverzeichnis des Systems einnistet. Der Schadcode startet im Hintergrund und verbindet sich zu einem Command-and-Control-Server.

Der nachgeladene Schadcode umfasst Infostealer-Funktionen. Er durchsucht den Rechner nach Profilen von Webbrowsern wie Brave, Chrome, Edge, Opera und weiteren und entschlüsselt die darin abgelegten Zugangsdaten mittels Windows-Data-Protection-API (DPAPI). Zudem sucht und sammelt er Cookies, Wallets etwa von Electrum, Exodus und MetaMask sowie .env-Dateien und überträgt sie dann an die Command-and-Control-Server, ergab die Auswertung unseres Lesers. Die Angreifer können zudem Backdoor-Funktionen zum Ausführen von Shell-Befehlen, das Hochladen von Dateien und das Herunterladen weiterer Dateien nutzen.

GitHub kann im konkreten Fall nichts ausrichten, da es sich um ein privates Repository handelt, teilte Microsoft dem Leser offenbar mit. Im konkreten Fall gab es für das vermeintliche Projekt keine öffentliche Ausschreibung, etwa auf Freelancermap oder bei anderen vergleichbaren Anbietern. Der Betrüger hat sich jedoch die Mühe gemacht und einen Namen ausgewählt, der zu einem Entwicklerprofil passt, wenn man mit der Suchmaschine danach sucht.

Masche global bereits gesichtet

Derartige Git-Repositories kennt Kaspersky seit etwa drei Jahren und nennt die Masche „GitVenom“, für vergiftete Git-Repositories. Ein Artikel auf dev.to beschreibt die Masche im englischsprachigen Raum. Dort nennt der Autor auch einige Alarmzeichen, die auf möglicherweise unheilvolle Jobangebote hindeuten. Etwa unaufgefordert angebotene Jobs, die einfach zu gut klingen, oder Druck, Aufgaben so schnell wie möglich zu erledigen. Die Aufforderung, Code als Teil eines Vorstellungsgesprächs herunterzuladen und auszuführen, ist ebenfalls eine „Red Flag“.

Auf technischer Ebene sollte „überall verteilter base64-kodierter Müll“ aufhorchen lassen oder mitgelieferte Dateien, die niemals genutzt werden. Stutzig machen sollten Beschreibungen im README, die komplett davon abweichen, was der Code tatsächlich macht oder etwa Abhängigkeiten, die keinen Sinn in dem Projekt ergeben. Ganz neue GitHub-Konten ohne nennenswerten Verlauf sind ebenfalls verdächtig, ebenso mehrere gleichartige Projekte vom gleichen Account.

Entwickler sollen sich schützen, indem sie etwa alles unabhängig überprüfen und nicht der E-Mail blind vertrauen: Gibt es die Firma tatsächlich, wer steckt dahinter? Gibt es die Stellenausschreibung auch auf der Webseite der Organisation? Ist die Firma bereit, auch Video-Anrufe zu machen und antwortet sinnvoll auf Detailfragen zum Unternehmen? Das Isolieren von solchen Entwicklungsumgebungen in virtuelle Maschinen kann helfen, potenziellen Schaden einzuschränken. Auf jeden Fall müssen Entwickler inzwischen ebenfalls sehr vorsichtig sein, um nicht auf fortgeschrittene Malware-Maschen hereinzufallen.

(dmk)

Seit über fünfzig Jahren ermöglicht der Interrail-Pass günstige Bahnreisen quer durch Europa. Verwaltet wird das Pauschalangebot, das sich zunächst primär an junge Leute richtete, von der Eurail B.V. im niederländischen Utrecht. Diese warnt nun ihre Kunden vor einem Datenleck: Ein Unbekannter hatte Zugriff auf die Kundendatenbank des Unternehmens und konnte so womöglich Stamm- und Ausweisdaten der Interrail-Nutzer abgreifen.

Viele Einzelheiten gibt es zum Vorfall nicht, doch gibt Eurail an, der unbekannte Angreifer hätte auf folgende Daten zugreifen können:

• Bestell- und Reservierungsinformationen,
• Kontakt- und Identitätsdaten sowie
• Nummer, ausstellendes Land und Ablaufdatum von Reisepass oder Personalausweis.

Man speichere bei Interrail-Kunden keine Kopie des Ausweisdokuments, sondern nur die angegebenen Daten, erläutert Eurail. Das gilt jedoch nicht für alle Kunden. Wer eine Fahrkarte im Rahmen des „DiscoverEU“-Programms erworben hat, muss zusätzlich damit rechnen, dass Ausweiskopien, IBAN-Nummer und Gesundheitsdaten in fremde Hände geraten seien, gibt eine separate Meldung an.

Details sind unklar, Ermittlungen laufen

Wann der Vorfall sich ereignete und wen man konkret des Einbruchs verdächtigt, erläutert Eurail nicht. Offenbar ist das Unternehmen jedoch sicher, es handele sich lediglich um eine Einzelperson. Man ermittle weitere Details gemeinsam mit IT-Sicherheitsspezialisten und Forensikern, habe die Sicherheitslücken geschlossen, missbrauchte Zugangsdaten geändert und Sicherheitsmaßnahmen verstärkt. Alle direkt betroffenen Kunden habe man informiert, auch die zuständige Aufsichtsbehörde, die niederländische Autoriteit Persoonsgegevens, sei im Bilde.

Eurail mahnt seine Kunden zur Wachsamkeit: Die Angreifer könnten mit den erbeuteten Daten Phishing- oder Betrugsversuche starten, auch Identitätsdiebstahl sei denkbar. Das Unternehmen hat eine FAQ eingerichtet, um weitere Unterstützung zu leisten.

Bahntickets zum Pauschal- oder Monatspreis sind attraktive Ziele für Betrüger und Fälscher. Das Deutschlandticket wurde über illegale Shops angeboten, was den Verkehrsunternehmen einen Schaden von bis zu einer halben Milliarde Euro seit 2024 bescherte. Auch Ausweiskopien sind beliebt, weil sie bei Identitätsbetrug helfen – sie werden bisweilen zu Tausenden im Darknet gehandelt.

(cku)