Mysteriöse 'Robin Hood'-Hacker spenden gestohlenes Geld

[English]Premiere im Bereich Cyber-Kriminalität? Eine Hackergruppe spendet einen winzigen Teil des bei Hacks erbeuteten Geldes für wohltätige Zwecke, was  den Experten Rätsel aufgibt. Hier einige Informationen dazu.

Es ist eine merkwürdige Geschichte, die die BBC vor wenigen Tagen öffentlich gemacht hat. Cyber-Kriminelle, die sich als Hacker sehen, behaupten, Millionen von Dollar von Unternehmen erpresst zu haben. Nun wollen Sie "die Welt zu einem besseren Ort machen" und versuche die Einnahmen an wohltätigte Einrichtungen zu spenden.

(Quelle: Pexels David McBee CC0 License)

In einem Posting im Dark Web haben die Hacker Quittungen über 10.000 Dollar an Bitcoin-Spenden an zwei Wohltätigkeitsorganisationen veröffentlicht. Einer der Empfänger ist Children International, die aber gleich mitteilten, dass sie diese Spende nicht annehmen bzw. behalten werden.

(ScreenShot Spendenbeleg, Quelle: BBC)

Die Spende wird von Experten als eine seltsame und vor allem beunruhigende Entwicklung angesehen, die sowohl moralisch als auch rechtlich erhebliche Problem und Fragen aufwirft. Zudem sind die Spendenbeträge nur ein winziger Bruchteil der Einnahmen, so dass das Ganze eher als Gimmick gesehen werden muss, mit dem die Cyber-Kriminellen Öffentlichkeit suchen.

Post der Cyber-Kriminellen

In einem Blog-Beitrag vom 13. Oktober 2020 behaupten die Hacker, dass sie mit ihren Ransomware-Attacken nur große profitable Unternehmen ins Visier nehmen. Bei den Ransomware-Angriffen werden die IT-Systeme der Unternehmen verschlüsselt und ein Lösegeld erpresst. In dem Post schrieben die Hacker:

Wir halten es für fair, dass ein Teil des Geldes, das die Unternehmen bezahlt haben, für wohltätige Zwecke verwendet wird. Ganz gleich, wie schlecht Sie unsere Arbeit auch finden, wir freuen uns zu wissen, dass wir geholfen haben, das Leben von jemandem zu verändern. Heute haben wir die ersten Spenden überwiesen (sic).

Die Cyber-Kriminellen belegten die Spende mit Empfangsquittungen der Empfänger, die für steuerliche Zwecke ausgestellt wird. Gespendet wurden jeweils 0,88 Bitcoins. Empfänger waren zwei Wohltätigkeitsorganisationen, The Water Project und Children International.

• Children International unterstützt Kinder, Familien und Gemeinden in Indien, den Philippinen, Kolumbien, Ecuador, Sambia, Sambia, der Dominikanischen Republik, Guatemala, Honduras, Mexiko und den Vereinigten Staaten.
• The Water Project setzt sich für die Verbesserung des Zugangs zu sauberem Wasser in Afrika südlich der Sahara ein.

Ein Sprecher von Children International sagte gegenüber der BBC: "Wenn die Spende mit einem Hacker in Verbindung gebracht wird, haben wir nicht die Absicht, sie zu behalten". The Water Project hat auf Bitten der BBC um Stellungnahme nicht reagiert.

Hintergrund unklar

Brett Callow, Threat Analyst bei der Cyber-Sicherheitsfirma Emsisoft, hatte mich per E-Mail auf den obigen Artikel aufmerksam gemacht. Er sagte der BBC:

Was die Kriminellen mit diesen Spenden zu erreichen hoffen, ist überhaupt nicht klar. Vielleicht hilft es, ihre Schuld zu lindern? Oder vielleicht wollen sie aus egoistischen Gründen als Robin-Hood-ähnliche Figuren wahrgenommen werden und nicht als gewissenlose Erpresser.

Was auch immer ihre Beweggründe sein mögen, es ist sicherlich ein sehr ungewöhnlicher Schritt und meines Wissens das erste Mal, dass eine Lösegeldgruppe einen Teil ihres Gewinns für wohltätige Zwecke gespendet hat.

Die Gruppe der Cyber-Kriminellen ist laut Callow relativ neu in der Szene. Aber eine Analyse des Marktes für Krypto-Geld zeigt, dass die Gruppe aktiv Gelder von den Ransomware-Opfern erpresst. Es gibt auch Hinweise auf Verbindungen zu anderen Gruppen von Cyber-Kriminellen. Diese sind für öffentlichkeitswirksame Angriffe auf Unternehmen (wie Travelex) verantwortlich.

Weg der Spenden

Die Art und Weise, wie die Cyber-Kriminellen die Wohltätigkeitsorganisationen bezahlt haben, ist ebenfalls ungewöhnlich, wirft Fragen auf und stellt ein Problem für Strafverfolgungsbehörden dar. Die Cyber-Kriminellen nutzten einen in den USA ansässigen Dienst namens The Giving Block, der von 67 verschiedenen gemeinnützigen Organisationen aus der ganzen Welt genutzt wird, darunter Save The Children, Rainforest Foundation und She's The First.

The Giving Block beschreibt sich online als "die einzige gemeinnützige spezifische Lösung für die Annahme von Spenden in Krypto-Währung". Die Organisation wurde 2018 gegründet, um "Millionären" unter den Krypto-Geld-Besitzern die Möglichkeit zu bieten, den "enormen Steueranreiz zu nutzen, Bitcoin und andere Krypto-Währungen direkt an gemeinnützige Organisationen zu spenden". Die Organisation ermöglicht wohl auch anonyme Spenden. The Giving Block teilte der BBC auf Anfrage mit, man sei sich nicht bewusst, dass diese Spenden von Cyber-Kriminellen getätigt wurden. Die Organisation gibt in einer Stellungnahmen folgendes an:

Wir arbeiten immer noch daran, festzustellen, ob diese Gelder tatsächlich gestohlen wurden. Sollte sich herausstellen, dass diese Spenden mit gestohlenen Geldern getätigt wurden, werden wir natürlich damit beginnen, sie zurückzugeben.

Die Tatsache, dass sie [die Kriminellen] Krypto-Geld verwendet haben, wird es einfacher, nicht schwieriger machen, sie zu fangen.

The Giving Block legte keine Details offen, was der Begriff 'Rückgabe des gestohlenen Geldes an den rechtmäßigen Besitzer' konkret bedeutet. Geht das Geld an die Cyber-Kriminellen, oder will man versuchen, Opfer der Ransomware-Angriffe zu finden und diese zu entschädigen? Man hat auch keine Einzelheiten darüber angegeben, welche Informationen die Organisation über ihre Spender sammeln.

Die meisten Dienste, die digitales Geld wie Bitcoin kaufen und verkaufen, verlangen von den Benutzern die Überprüfung ihrer Identität. Aber es ist nicht klar, ob dies hier geschehen ist. Ein Test der BBC ergab, dass auch anonyme Spenden an The Giving Block möglich sind. Solche anonymen Spenden werfen natürlich einige Fragen, speziell für die Empfänger, auf.

Kryptowährungs-Ermittler Philip Gradwell von Chainalysis weist darauf hin, dass eine anonyme Barspende an eine Wohltätigkeitsorganisation von diesen 'immer hinterfragt werden dürfte', und bei anonymen Cyber-Geld-Spenden sei dies nicht anders, speziell, wenn Steuerquittungen ausgestellt werden. Experten wie er weisen darauf hin, dass der Fall die Komplexität und die Gefahren anonymer Spenden deutlich mache. Gradwell dazu:

Es ist richtig , dass Sicherheitsforscher und Strafverfolgungsbehörden im Aufspüren von Krypto-Geldern, die von Wallet zu Wallet wandern, sehr geschickt geworden sind. Aber herauszufinden, wem jedes Wallet tatsächlich gehört, ist weitaus komplizierter.

Indem eine Organisation anonyme Spenden aus potenziell illegalen Quellen zulässt, läuft sie in Gefahr Geldwäsche zu unterstützen. Alle Geschäfte mit Krypto-Währungen benötigen eine ganze Reihe von Maßnahmen zur Bekämpfung der Geldwäsche, einschließlich eines 'Know Your Customer' (KYC)-Programms mit grundlegenden Hintergrundüberprüfungen, damit die Organisation versteht, wer hinter den Transaktionen steht.

Es bleibt spannend, wie sich dieses Thema jetzt weiter entwickelt. Mal schauen, vielleicht informiert mich Brett Callow darüber. Dass die 'Robin Hood'-Story der Cyber-Kriminellen nicht so ganz aufgeht, wird aus zwei Fällen klar. Bei einem Ransomware-Angriff auf das Uniklinikum Düsseldorf kam es zu einem mittelbaren Todesfall, weil eine Patientin durch den IT-Ausfall nicht behandelt werden konnte (siehe Uniklinikum Düsseldorf: Es war Ransomware, Staatsanwaltschaft ermittelt wegen Todesfolge). Callow ließ mir den Link zu einer Emisoft-Stellungnahme zukommen, die ich im Beitrag Ransomware-Infektionen mit Datenlecks: Stoppt den Wahnsinn thematisiert habe.

Und Callow schickt mir, da er kein Deutsch versteht, zyklisch Hinweise auf Cyber-Vorfälle mit Ransomware, die deutsche Firmen betreffen. Die Tage ist mir ein Fall auf den Tisch gekommen, wo eine Ransomware-Gruppe eine gGmbH mit der Veröffentlichung von erbeuteten Dokumenten erpressen will. Die gGmbH betreibt eine Einrichtung für Menschen mit Behinderungen und unter den veröffentlichten Dokumenten befinden sich Beurteilungen und Medikamentenpläne von Personen, die in dieser Einrichtung untergebracht sind. Als ich Callow darauf aufmerksam machte, meinte er 'Die Ransomware-Gruppen versuchen, ihren Operationen einen Deckmantel der Seriosität zu verleihen, indem sie zum Beispiel behaupten, keine Krankenhäuser anzugreifen, aber sie sind trotzdem Drecksäcke!'. Dem ist eigentlich nichts hinzuzufügen.

Ähnliche Artikel
Ransomware-Infektionen mit Datenlecks: Stoppt den Wahnsinn
Düsseldorfer Uniklinik: IT-Ausfall durch Cyberangriff?
Uniklinikum Düsseldorf: Es war Ransomware, Staatsanwaltschaft ermittelt wegen Todesfolge