Eine selbsternannte Ransomware-Gruppe hatte zuletzt mit angeblichen Cyberangriffen auf namhafte Unternehmen wie Epic Games, DJI und sogar das irische Außenministerium für Schlagzeilen gesorgt. Nun stellte sich heraus: Bei der vermeintlichen Hackergruppe Mogilevich handelte es sich lediglich um eine Bande skrupelloser Cyber-Krimineller, die mit einer ausgeklügelten Betrugsmasche über 100.000 US-Dollar ergaunerten.
Statt durch illegale Ransomware-Aktivitäten erlangte Mogilevich ihre vermeintlichen Datenbanken auf andere Weise: durch dreiste Lügen und gezielte Manipulationen. Wie die Gruppe in einer Mitteilung einräumte, waren keineswegs sensible Firmen- oder Behördendaten abgegriffen worden. „In Wirklichkeit sind wir gar kein Ransomware-as-a-Service-Anbieter, sondern professionelle Betrüger“, hieß es. Die auf ihrer Datenleck-Seite aufgelisteten Datenbanken seien ausgedacht gewesen.
Einnahmen erzielten die Cyber-Kriminellen mit einem mehrstufigen Betrugsmodell: Zunächst boten sie acht Zugänge zu je 1.000 US-Dollar zu ihrer angeblichen Ransomware-Infrastruktur an, erhöhten die Preise auf 2.000 Dollar und drohten, die Anzahlung nicht zu erstatten, sollten die Interessenten nicht nachbessern. Noch mehr Kohle auf einen Schlag hat Mogilevich mit einer Fake-Datenbank des Drohnenherstellers DJIs kassiert.
Generell trug Social Engineering (dazu hier ein interessanter Talk vom letzten CCC-Kongress) sehr zum Erfolg der Betrüger bei, wie Mogilevich in dem Statement genüsslich beschreibt:
Wie Sie wissen, haben wir eine bekannte Drohnenfirma als Ziel veröffentlicht. Der Preis für die angebliche Datenbank von einem Terabyte betrug hunderttausend Dollar. Wir wurden sofort von Interessenten kontaktiert, einer von ihnen wurde beruhigt, als wäre er der damalige Chef, wir erklärten ihm, dass es sich bei den Daten dieser Firma um private Prototypenprojekte, Blaupausen handelte, und dass leider auch ein kleines Datenleck in der Probe großen Schaden anrichten könnte. Wir ließen ihn glauben, dass wir andere Käufer hätten, die uns unter Druck setzten und die Projekte so schnell wie möglich haben wollten. Als er das sah, dachte er, dass er eine Chance verpassen würde. Nachdem wir verschiedene Techniken angewandt hatten, um uns glaubwürdig zu machen, einigten wir uns auf einen Preis von 85.000 Dollar.
Aus dem Statement von Mogilevich (maschinell übersetzt)
Dass Zweifel an den Behauptungen der Gruppe berechtigt waren, zeigten bereits frühere Warnungen, auch vom Spieleunternehmen Epic Games. Dieses hatte die angeblichen Attacken als haltlos bezeichnet – zu Recht, wie sich herausstellte. Denn im Gegensatz zu echten Ransomware-Gruppen lieferte Mogilevich keinerlei Beweise wie Datenstichproben für ihre beworbenen Cyber-Überfälle.
Das führt natürlich auch zu der Frage, warum die Betrüger jetzt plötzlich aufgeben und ihre Masche öffentlich machen. Auch darauf hat Mogilevich eine Antwort parat:
Die eigentliche Frage ist also? Warum sollten wir das alles zugeben, wenn wir einfach weglaufen könnten? Wir halten uns nicht für Hacker, sondern eher für kriminelle Genies, wenn man uns so nennen kann. Ich glaube, ich habe vielen Leuten eine Lektion erteilt, vor allem Epic Games, die mit ihren Anzeigen und Tweets nichts anderes getan haben, als für uns zu werben, indem sie unser betrügerisches Netzwerk vergrößert haben.
Aus dem Statement von Mogilevich (maschinell übersetzt)
Ehrlicherweise bin ich mir nach der ganzen Geschichte übrigens nicht einmal sicher, ob hinter Mogilevich wirklich mehrere Personen stecken oder doch nur ein Einzelner – im letzten Absatz wechselt das Statement nämlich von „we“ zu „I“ und ist nur von einer Person, „Pongo“, unterzeichnet.