Schadsoftware EMOTET mit eigenen Mitteln geschlagen: Polizei kapert Infrastruktur
In einer international konzertierten Aktion haben Polizei- und Strafverfolgungs-behörden die Infrastruktur der gefährlichen Schadsoftware EMOTET zerschlagen: Die Behörden bekamen Zugriff auf einen Computer des Netzwerks, und spielten ein extra dafür entwickeltes Update auf. Das zog dem Botnetz seine gefährlichen Zähne. Maßgeblich beteiligt waren die Staatsanwaltschaft Frankfurt und das BKA. Lesen Sie hier die ganze Geschichte:
Die Generalstaatsanwaltschaft Frankfurt am Main – Zentralstelle zur Bekämpfung der Internetkriminalität (ZIT) – und das Bundeskriminalamt (BKA) haben am gestrigen Dienstag die Infrastruktur der Schadsoftware Emotet übernommen und zerschlagen. Dabei wurden sie von Europol und Eurojust unterstützt. Der Schlag gegen die Cyberkriminalität gelang im Rahmen einer international konzertierten Aktion mit Strafverfolgungsbehörden aus den Niederlanden, der Ukraine, Litauen, Frankreich sowie England, Kanada und den USA.
Emotet: Derzeit gefährlichste Schadsoftware weltweit
Emotet galt als derzeit gefährlichste Schadsoftware weltweit und hat auch in Deutschland neben Computern zehntausender Privatpersonen eine hohe Anzahl von IT-Systemen von Unternehmen, Behörden und Institutionen infiziert, wie beispielsweise die des Klinikums Fürth, des Kammergerichts Berlin, der Bundesanstalt für Immobilienaufgaben (BImA) oder der Stadt Frankfurt am Main. Emotet besaß als sogenannter „Downloader" die Funktion, unbemerkt ein Opfersystem zu infizieren und weitere Schadsoftware nachzuladen, etwa zur Manipulation des Online-Bankings, zum Ausspähen von gespeicherten Passwörtern oder zur Verschlüsselung des Systems für Erpressungen.
Malware as a Service: Emotet-Betreiber vermieten die Nutzung an andere Cyberriminelle
Die Nutzung dieses durch die Täter geschaffenen „Botnetzes" wurde zusammen mit der Nachladefunktion von beliebiger Schadsoftware in der „Underground Economy" gegen Entgelt angeboten. Deshalb kann das kriminelle Geschäftsmodell von Emotet als „Malware-as-a-Service" bezeichnet werden. Es bot weiteren Kriminellen die Grundlage für zielgerichtete Cyber-Angriffe. Alleine in Deutschland ist durch Infektionen mit der Malware Emotet oder durch nachgeladene Schadsoftware ein Schaden in Höhe von mindestens 14,5 Millionen Euro verursacht worden.
Ermittlungen laufen seit August 2018
Die Ermittlungen von ZIT und BKA gegen die Betreiber der Schadsoftware Emotet und des Emotet-Botnetzes wegen des Verdachts des gemeinschaftlichen gewerbsmäßigen Computerbetruges und anderer Straftaten werden seit August 2018 geführt.
Im Rahmen dieses Ermittlungsverfahrens wurden zunächst in Deutschland verschiedene Server identifiziert, mit denen die Schadsoftware verteilt und die Opfersysteme mittels verschlüsselter Kommunikation kontrolliert und gesteuert werden. Umfangreiche Analysen der ermittelten Daten führten zu der Identifizierung weiterer Server in mehreren europäischen Staaten. So konnten im Wege der internationalen Rechtshilfe weitere Daten erlangt und die Emotet-Infrastruktur durch Beamte des BKA und der internationalen Partnerdienststellen immer weiter aufgedeckt werden.
Takedown: Allein in Deutschland wurden 17 Server beschlagnahmt!
Da sich die auf diese Weise identifizierten Bestandteile der Emotet-Infrastruktur in mehreren Ländern befinden, sind die gestrigen Maßnahmen zum „Takedown" auf Initiative von ZIT und BKA in enger Kooperation mit den betroffenen internationalen Strafverfolgungsbehörden durchgeführt worden. Beamte des BKA sowie Staatsanwälte der ZIT haben dabei in Deutschland bisher bereits 17 Server beschlagnahmt. Daneben sind auf Ersuchen der deutschen Strafverfolgungsbehörden auch in den Niederlanden, in Litauen und in der Ukraine im Rahmen von internationalen Rechtshilfemaßnahmen weitere Server beschlagnahmt worden.
Durch dieses von Europol und Eurojust koordinierte Vorgehen ist es nicht nur gelungen, den Zugriff der Täter auf die Emotet-Infrastruktur zu unterbinden. Auch umfangreiche Beweismittel wurden gesichert. Zudem konnte im Rahmen der Rechtshilfemaßnahmen in der Ukraine bei einem der mutmaßlichen Betreiber die Kontrolle über die Emotet-Infrastruktur übernommen werden.
Ab jetzt vom BSI kontrolliert: Kommunikation der Schadstoffware auf den Systemen der Opfer
Durch die Übernahme der Kontrolle über die Emotet-Infrastruktur war es möglich, die Schadsoftware auf betroffenen deutschen Opfersystemen für die Täter unbrauchbar zu machen. Um den Tätern jegliche Möglichkeit zu nehmen, die Kontrolle zurück zu erlangen, wurde die Schadsoftware auf den Opfersystemen in Quarantäne verschoben und die Kommunikationsparameter der Schadsoftware so angepasst, dass die Opfersysteme ausschließlich zu einer zur Beweissicherung eingerichteten Infrastruktur kommunizieren können. Die dabei erlangten Informationen über die Opfersysteme wie z.B. öffentliche IP-Adressen werden dem Bundesamt für Sicherheit in der Informationstechnik (BSI) übermittelt.
Betroffene werden vom BSI über die Internet-Provider informiert
Das BSI benachrichtigt die für die übermittelten IP-Adressen zuständigen Netzbetreiber in Deutschland. Provider werden gebeten, ihre betroffenen Kunden entsprechend zu informieren. Weiterhin stellt das BSI Informationen zur Bereinigung betroffener Systeme zur Verfügung.
Für ZIT und BKA stellt das Zerschlagen der Emotet-Infrastruktur einen bedeutenden Schlag gegen die international organisierte Internetkriminalität und zugleich eine wesentliche Verbesserung der Cybersicherheit in Deutschland dar.
Das sagt BKA-Präsident Holger Münch über den Erfolg der Aktion:
In einem Pressestatement sagte der Präsident des Bundeskriminalamts, Holger Münch:
"In einer international abgestimmten Aktion ist es uns in dieser Woche erneut gelungen, einen erfolgreichen Schlag gegen die organisierte Cyberkriminalität zu setzen. Gemeinsam mit der Genersalstaatsanwaltschaft, der ZIT, der Zentralstelle zur Bekämpfung der Internetkriminalität, weiteren internationalen Strafverfolgungsbehörden und Europol haben wir die Infrastruktur von Emotet - einer der derzeit gefährlichsten Schadsoftware weltweit - übernommen und zerschlagen."
Münch sagte weiter: "Seit August 2018 führt das Bundekriminalamt unter Sachleitung der ZIT Ermittlungen gegen die Betreiber der Schadsoftware Emotet und des Emotet-Bot-Netzes wegen des Verdachts des gemeinschaftlichen gewerbsmäßigen Computerbetruges und andere Straftaten."
Über den gelungen Takedown sagte der BKA-Präsident: "Seither haben wir umfangreiche und erfolgreiche Ermittlungen zur Aufklärung der Emotet-Infrastruktur und zur Ermittlung des Server-Adminisstrators der Gruppierung durchgeführt. Der nun durchgeführte Takedown ist in enger Kooperation mit Strafverfolgungsbehörden aus den Niederlanden, der Ukraine, Litauen, Frankreich, sowie England, Kanada und den USA gelungen."
Dies sei im Rahmen einer engen internationalen Zusammenarbeit erfolgt: "Wir haben dabei sowohl in Deutschland - als auch im Rahmen von internationalen Rechtshilfemaßnahmen in den Niederlangen, in Litauen und der Ukraine Server beschlagnahmt. Dabei waren weltweit mehrere hundert Beamtinnen und Beamte im Einsatz. Europol und Eurojust waren eng in die Maßnahmen eingebunden und haben das gemeinsame Vorgehen koordiniert."
"Die Schadsoftware Emotet ist eine der gefährlichsten weltweit und seit mindestens 2014 aktiv", charakterisierte Münch das Schadprogramm: "Nach erfolgter Infektion lädt die Software weitere Arten von Schadsoftware nach. In Deutschland insbesondere die Varianten Trickbot, Quackbot und Riot. Diese dienen dazu, Daten auszuspähen, Online-Banking zu manipulieren oder die Systeme zu verschlüsseln, um deren Nutzer anschließend zu erpressen."
"Ziel der Angriffe sind neben Privaten insbesondere kritische Infrastrukturen, Behörden und große Unternehmen", sagte Münch weiter: "Allein der bisher bekanntgewordene Gesamtschaden in unserem Verfahren hier in Deutschland beläuft sich auf 14,5 Millionen Euro. Und das ist nur ein Ausschnitt."
Entscheidend sei, so Münch, dass man die Kontrolle übernommen habe: "Mit den diese Woche durchgeführten Maßnahmen ist es uns gelungen, die Täter von einem weiteren Zugriff auf die Emotet-Infrastruktur auszusperren, die Kontrolle über die Infrastruktur zu übernehmen und umfangreiche Beweismittel sicherzustellen. Dadurch haben wir Emotet auf einer Vielzahl von betroffenen Opfersystemen für die Täterschaft unbrauchbar gemacht."
Zum Umgang mit den vom BSI erlangten Opferdaten sagte Münch: "Da wir mit Blick auf die Zielrichtung von Emotet aber davon ausgehen müssen, dass über Emotet weitere Schadsoftware nachgeladen wurde, ist es notwendig, dass die betroffenen Rechnern vollständig bereinigt werden. Deshalb stellen wir die erlangten Informationen zu betroffenen Opfersystem dem Bundesamt für Sicherheit in der Informationstechnik zur Verfügung. Diese ermitteln und informieren die zuständigen deutschen Internet-Provider, damit diese ihre Kunden über die Infektion benachrichtigen können. Informationen mit Bezug zu anderen Staaten werden durch das Bundesamt für Sicherheit in der Informationstechnik über den Verbund der sogenannten Computer-Emergency-Response-Teams - kurz CERT - weltweit verteilt. Parallel hat das BKA über den Interpol-Verbund alle angeschlossenen Staaten über die Maßnahmen in Kenntnis gesetzt."
Das Ergebnis sei , so der BKA-Präsident, ein wichtiger Schritt für die Cybersicherheit: "Die Zerschlagung der Emotet-Infrastruktur ist ein bedeutsamer Schlag gegen die organisierte Internet-Kriminalität, insbesondere das Phänomen "Malware as a Service". Durch die enge und vertrauensvolle Zusammenarbeit zwischen der ZIP, dem BKA und unseren internationalen Partnern sind wir einen wichtigen Schritt für die Cybersicherheit in Deutschland und weltweit vorangekommen.
BKA-Präsident appelliert an die betroffenen Nutzer: "Computer umfangreich bereinigen!"
Münch sagte: "Ich appelliere aber schon jetzt an die betroffenen Nutzer: Wenn Sie die Information bekommen, dass sie dazu gehören, Ihre Systeme bitte umfassend zu bereinigen, damit weitere Straftaten auch verhindert werden können."
Zu Qualität der konzertierten Aktion sagte der BKA-Präsident: "Allen Beteiligten danke ich für die hervorragende Arbeit, die hervorragende Zusammenarbeit.""
Quellen:
- Pressemitteilung der Generalstaatsanwaltschaft Frankfurt am Main -ZIT- und des Bundeskriminalamtes
- Pressestatement BKA-Präsident Holger Münch, transkribiert durch die Klarner Medien - Redaktion.
Erstveröffentlichung; 28.01.2021-12:35
