{"id":327242,"date":"2026-07-06T22:47:12","date_gmt":"2026-07-06T20:47:12","guid":{"rendered":"https:\/\/borncity.com\/blog\/?p=327242"},"modified":"2026-07-07T02:05:52","modified_gmt":"2026-07-07T00:05:52","slug":"scattered-spider-mitglied-peter-stokes-durch-windows-guid-identifiziert-und-ueberfuehrt","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2026\/07\/06\/scattered-spider-mitglied-peter-stokes-durch-windows-guid-identifiziert-und-ueberfuehrt\/","title":{"rendered":"Scattered Spider-Mitglied Peter Stokes durch Windows GDID identifiziert und \u00fcberf\u00fchrt"},"content":{"rendered":"

\"SicherheitVor einiger Zeit wurde Peter Stokes als mutma\u00dfliches Mitglied der Cybergang Scattered Spider in Finnland verhaftet und ist inzwischen in die USA ausgeliefert worden. Aus Gerichtsdokumenten geht nun hervor, dass die von Windows vergebene eindeutige GDID Stokes bei seinen Aktivit\u00e4ten, die er bestm\u00f6glich verschleierte, verraten hat und zu seiner Identifizierung gef\u00fchrt hat.<\/p>\n

<\/p>\n

R\u00fcckblick auf Scattered Spider<\/h2>\n

\"\"Hier im Blog hatte ich die Aktivit\u00e4ten der Hackergruppe Scattered Spider, die in Sicherheitskreisen auch unter dem Namen UNC3944 gef\u00fchrt wird, nicht thematisiert. Laut Wikipedia<\/a>\u00a0scheint die Gruppe m\u00f6glicherweise im Mai 2022 gegr\u00fcndet worden zu sein, um Angriffe per SIM-Swapping auf\u00a0 Telekommunikationsunternehmen auszuf\u00fchren. Dort wurden auch MFA-Fatigue-Angriffe und Phishing per SMS und Telegram verwendet.<\/p>\n

Im September 2023 soll die Hackergruppe haupts\u00e4chlich aus Personen im Alter von 19 bis 22 Jahren bestanden haben. Bekannt wurde die Gruppe, so die Wikipedia, durch das Hacken von Caesars Entertainment und MGM Resorts International, zwei der gr\u00f6\u00dften Kasino- und Gl\u00fccksspielunternehmen in den Vereinigten Staaten. Den MGM-Hack hatte ich im Blog-Beitrag\u00a0MGM Resorts International Opfer eines Cyberangriffs: Spielcasinos, Webseiten und Dienste down<\/a>\u00a0angesprochen \u2013 wobei dort die Gruppe ALPHV\/BlackCat genannt wurde.<\/p>\n

Zwischenzeitlich wurde die Gruppe wohl Teil einer einer gr\u00f6\u00dferen globalen Hackergemeinschaft, die als \"the Community\" oder \"the Com\" bekannt ist. Zudem scheinen sich die Mitglieder bei Hacks auch den Werkzeugen von Ransomware-as-a-service-Anbietern zu bedienen.<\/p>\n

Identifizierung und Verhaftung von Mitgliedern<\/h2>\n

Bereits im Januar 2024 hatten US-Strafverfolger einen 19 J\u00e4hrigen aus den USA als Mitglied der Gruppe verhaftet. Im Juni 2024 hatte ich im Blog-Beitrag Mutma\u00dflicher Kopf von Scattered Spider in Spanien verhaftet<\/a> \u00fcber die Festsetzung eines der f\u00fchrenden Mitglieder dieser Gruppe in Spanien berichtet. Es soll sich beim Verhafteten um den 22-j\u00e4hrigen Schotten Tyler Buchanan handeln.<\/p>\n

Im Juli 2025 wurden vier Verd\u00e4chtige in Gro\u00dfbritannien verhaftet (siehe meinen Beitrag Vier Verd\u00e4chtige in Gro\u00dfbritannien wegen Co-op-, Marks & Spencer- und Harrods-Hack verhaftet<\/a>). Und im September 2025 berichtete ich im Beitrag Zwei mutma\u00dfliche Mitglieder von Scattered Spider verhaftet<\/a>, dass die britische National Crime Agency (NCA) die Verhaftung zweier m\u00e4nnlicher Personen bekannt gegeben. Es handelt sich um den 19-j\u00e4hrigen Thalha Jubair aus East London und den 18-j\u00e4hrigen Owen Flowers aus Walsall, West Midlands. Beide wurden ebenfalls die Beteiligung von Angriffen der Gruppe Scattered Spider zur Last gelegt.<\/p>\n

\"Peter<\/a><\/p>\n

Zum 1. Juli 2026 ist mir dann obiger Tweet<\/a> untergekommen, der sich mit Peter Stokes befasst. Das US-Justizministerium (DOJ) hatte bekannt gegeben, dass der 19 j\u00e4hrige Peter Stokes, ein US-estnischer Doppelstaatsb\u00fcrger und mutma\u00dfliches Mitglied der Cyberkriminalit\u00e4tsgruppe \"Scattered Spider\", aus Finnland ausgeliefert und im Northern District of Illinois wegen Verschw\u00f6rung, Computerhacking und Betrugs angeklagt wurde.<\/p>\n

Peter Stokes war bereits im April 2026 am Flughafen von Helsinki festgesetzt worden, als er nach Japan fliegen wollte. Der obige\u00a0Tweet fasst zusammen, dass der Cyberger Gruppe L\u00f6segeldzahlungen in H\u00f6he von mehr als 100 Millionen US-Dollar aus \u00fcber 100 Hacks von Computersystemen zugeschrieben werden. Die Anklageschrift gegen Peter Strokes wirft diesem jedoch lediglich nur einen Angriff auf einen Luxusjuwelier im Mai 2025 vor. Bei diesem Hack wurde eine L\u00f6segeldforderung in H\u00f6he von 8 Millionen US-Dollar gestellt wurde, die jedoch nicht beglichen wurde.<\/p>\n

Stokes soll ist die j\u00fcngste Pers\u00f6nlichkeit aus dem Umfeld von \"Scattered Spider\" sein, die im Rahmen internationaler Zusammenarbeit \u2013 in diesem Fall mit dem finnischen National Bureau of Investigation und einer Red Note von Interpol \u2013 festgesetzt, ausgeliefert und vor US-Gerichte gebracht wurde. Der Fall ist Teil der Operation \"Riptide\", einer FBI-Kampagne, mit der das FBI nach eigenen Angaben auf die im vergangenen Jahr gemeldeten Verluste durch Cyberkriminalit\u00e4t in den USA in H\u00f6he von mehr als 20 Milliarden US-Dollar reagiert.<\/p>\n

Wie Peter Stokes enttarnt wurde<\/h2>\n

Spannend ist nun aus der Anklageschrift gegen Strokes zu erfahren, wie der Hacker identifiziert und schlie\u00dflich festgesetzt werden konnte. Mir waren die Fragmente aus nachfolgendem Tweet<\/a> untergekommen.<\/p>\n

\"Peter<\/a><\/p>\n

Blog-Leser Bolko hatte aus der Anklageschrift gegen Peter Stokes<\/a>, die als PDF abrufbar ist, eine Reihe an Informationen herausgezogen und im Diskussionsbereich eingestellt. Da ich die Eintr\u00e4ge aus diesem Bereich immer mal wieder l\u00f6sche, ziehe ich die Informationen hier in den Beitrag. Denn die Anklage liefert detaillierte Informationen was hinter den Kulissen abgeht.<\/p>\n

Peter Stokes verwendete f\u00fcr seine Aktivit\u00e4ten zwar ein VPN-Netzwerk und lie\u00df dessen Verbindungen \u00fcber drei L\u00e4nder laufen, um die Aktionen zu verschleiern. Aber er machte den Fehler, Microsoft Windows f\u00fcr seine Hacks zu verwenden. Windows verkn\u00fcpfte aber die dem Rechner zugewiesene eindeutige \"Global Device Identifier\" (GDID) in seinen Telemetrie-Daten, die an Microsoft \u00fcbermittelt werden.<\/p>\n

Aus der Anklageschrift geht hervor, dass Windows mit den Telemetrie-Daten die GDID und jede abgerufene IP-Adresse, und jede aufgerufene URL verkn\u00fcpft und an Microsoft \u00fcbertr\u00e4gt. Die IP-Adressen, die w\u00e4hrend des Hacks benutzt wurden, lie\u00dfen sich bei den Opfern feststellen.<\/p>\n

Im Gerichtsdokument findet sich die Information, dass Peter Stokes zwar ein Konto bei einem Anbieter eines Tools zur sicheren Daten\u00fcbertragung \u00fcber einen Tunnel (VPN-Anbieter) er\u00f6ffnete. Dieses VPN verwendete er, um auf das Computernetzwerk des als \"F\" bezeichneten Unternehmens zuzugreifen und Daten aus diesem Netzwerk abzuziehen.\u00a0 In der Anklage hei\u00dft es, dass dieses VPN-Konto \u00fcber die IP-Adresse eines VPN-Proxy-Dienstes lief, die auf .168 endete. Eine mit dem von Peter Stokes verwendeten Windows-Rechner verkn\u00fcpfte Microsoft-Ger\u00e4tekennung (eine Global Device ID, kurz GDID) sei aber ebenfalls mit der .168-Adresse verbunden gewesen.<\/p>\n

Sprich:\u00a0Microsoft kann durch die Windows-Telemetrie die Nutzer mittels der GDID auch hinter einem Proxy identifizieren und Bewegungsprofile erstellen. Aus den Gerichtsdokumenten geht auch hervor, dass die von Microsoft per Telemetriedaten erfassten Aktivit\u00e4ten zeigen, dass auf dem Windows-Rechner (von Strokes) mit der GDID g:6755467234350028 ein ngrok-Konto aufgesetzt wurde.<\/p>\n

Ngrok ist ein beliebter Reverse-Proxy-Dienst, der lokale Entwicklungsumgebungen (wie localhost) \u00fcber sichere Tunnel direkt f\u00fcr das \u00f6ffentliche Internet freigibt. Der Datenverkehr wird durch ngrok an lokalen Firewalls und NATs vorbei geleitet.<\/p><\/blockquote>\n

In den Gerichtsdokumenten hei\u00dft es, dass gem\u00e4\u00df den Microsoft-Aufzeichnungen am 12. Mai 2025 um 19:21 Uhr UTC \u2013 als laut ngrok-Protokollen das ngrok-Konto erstellt wurde \u2013 das Ger\u00e4t mit der betreffenden GDID unter anderem auf folgende ngrok-Seiten zugriff:<\/p>\n

*ttps:\/\/dashboard.ngrok.com\/signup<\/p>\n

Dann geben die Gerichtsdokumente an, welche Aktivit\u00e4ten Microsoft im Rahmen der Telemetrie mit der GDID des betreffenden Windows-Rechners aufgezeichnet hatte:<\/p>\n