Europol & Co. schalten Phishing-Plattform LabHost ab

Noch ein kurzer Nachtrag von letzter Woche. Ermittler von Europol haben im Verbund mit weiteren Strafverfolgern (LKA Sachsen etc.) eine Plattform, die für Phishing genutzt wurde, beschlagnahmt und die Server abgeschaltet. Die Plattform LabHost bot Phishing-as-a-Service für andere Cyberkriminelle an.

Strafverfolger aus 19 Ländern haben sich zusammengetan, um eine der größten Phishing-as-a-Service-Plattformen der Welt zu Fall zu bringen.LabHost wurde nach einer einjährigen Untersuchung, unter Führung der Londoner Metropolitan Police mit Unterstützung des Europäischen Zentrums für Cyberkriminalität (EC3) von Europol und der dort angesiedelten Joint Cybercrime Action Taskforce (J-CAT) geleitet. Die  LabHost-Plattform, die zuvor im offenen Internet verfügbar war, wurde von Europol, gemäß folgendem Tweet dann abgeschaltet.

Laut dieser Mitteilung wurden zwischen Sonntag, dem 14. April, und Mittwoch, dem 17. April, weltweit insgesamt 70 Adressen durch lokale Polizeikräfte durchsucht. Das führte zur Verhaftung von 37 Verdächtigen, darunter befinden sich auch vier Personen aus dem Vereinigten Königreich, die mit dem Betrieb der Website in Verbindung stehen. Auch der ursprüngliche Entwickler des Dienstes gehört zu den Verhafteten.

Europol war an diesen Fall seit September 2023 aktiv. In der Europol-Zentrale wurde ein operativer Sprint mit allen beteiligten Ländern organisiert, heißt es, damit die nationalen Ermittler Erkenntnisse über die Nutzer und Opfer in ihren eigenen Ländern ermitteln und entwickeln konnten. Während der Aktionsphase unterstützte ein Europol-Spezialist die niederländische Polizei bei ihren Durchsetzungsmaßnahmen.

Kommerzialisierung von Phishing-Angriffen

Cyberkriminalität als Dienstleistung ist zu einem schnell wachsenden Geschäftsmodell in der kriminellen Landschaft geworden, schreibt Europol. Dabei vermieten oder verkaufen Bedrohungsakteure Tools, Fachwissen oder Dienstleistungen an andere Cyberkriminelle, um ihre Angriffe durchzuführen. Dieses Modell hat sich bei Ransomware-Gruppen etabliert, wird aber auch bei anderen Aspekten der Cyberkriminalität, z. B. bei Phishing-Angriffen, eingesetzt.

LabHost war zu einem wichtigen Werkzeug für Cyberkriminelle auf der ganzen Welt geworden. Gegen ein monatliches Abonnement bot die Plattform Phishing-Kits, Infrastruktur für das Hosting von Seiten, interaktive Funktionen für die direkte Ansprache von Opfern und einen Überblick über die Kampagnen.

Bei der Untersuchung durch die Strafverfolger wurden mindestens 40 000 Phishing-Domänen aufgedeckt, die mit LabHost verbunden waren. Die Plattform hatte weltweit etwa 10 000 Nutzer. Für eine monatliche Gebühr von durchschnittlich 249 Dollar bot LabHost eine Reihe von illegalen Diensten an, die individuell angepasst und mit wenigen Klicks eingerichtet werden konnten.

Je nach Abonnement wurde den Kriminellen ein immer größeres Spektrum an Zielen angeboten, darunter Finanzinstitute, Postzustelldienste und Telekommunikationsanbieter. Labhost bot seinen Nutzern ein Menü von über 170 gefälschten Websites mit überzeugenden Phishing-Seiten zur Auswahl.

Was LabHost besonders destruktiv machte, war sein integriertes Kampagnenmanagement-Tool namens LabRat. Mit dieser Funktion konnten die Cyberkriminellen, die die Angriffe ausführten, diese in Echtzeit überwachen und steuern. LabRat wurde entwickelt, um Zwei-Faktor-Authentifizierungscodes und Anmeldedaten zu erfassen, so dass die Kriminellen die erweiterten Sicherheitsmaßnahmen umgehen konnten.

Leicht zugänglich, aber kriminell

Plattformen wie LabHost machen Cyberkriminalität für unerfahrene Hacker leichter zugänglich, wodurch sich der Pool der Bedrohungsakteure erheblich vergrößert. Doch so benutzerfreundlich sich der Dienst auch präsentieren mag, seine böswillige Nutzung stellt eine illegale Aktivität dar – und die Strafen können hart sein, merken die Ermittler an.

Eine große Menge an Daten, die im Laufe der Ermittlungen gesammelt wurden, befindet sich nun im Besitz der Strafverfolgungsbehörden. Diese Daten werden zur Unterstützung der laufenden internationalen operativen Maßnahmen verwendet, die sich auf die böswilligen Nutzer dieser Phishing-Plattform konzentrieren.