Operation Endgame: Polizeiaktion gegen Trickbot und weitere Malware

Nach mehrjährigen Ermittlungen hat die Polizei diese Woche zugeschlagen.Bild: keystone

«Bislang grösster Schlag» gegen (russische) Cyberkriminelle – Schweiz beteiligt

Mehrere der derzeit einflussreichsten Schadsoftware-Familien, darunter Trickbot, sind im Rahmen der «Operation Endgame» vom Netz genommen worden. Die Schweiz leistete Rechtshilfe.

Deutsche Ermittler sprechen vom bislang grössten Schlag gegen Cyberkriminelle: Bei einem Einsatz in mehreren Ländern seien weltweit mehr als 100 Server beschlagnahmt und 1300 Domains ausser Betrieb gesetzt worden. Auch schweizerische Strafverfolgungsbehörden waren beteiligt. Das teilten die Generalstaatsanwaltschaft Frankfurt am Main und das deutsche Bundeskriminalamt (BKA) am Donnerstagmorgen mit.

«Die zerschlagenen Botnetze bestanden aus Millionen von infizierten Computer-Systemen.»

Europol

Um welche Schadsoftware geht es?

Mehrere der derzeit einflussreichsten Schadsoftware-Familien seien vom Netz genommen worden. Es handelt sich dabei um spezielle Software, mit der in krimineller Absicht Zugriff auf fremde Computer erlangt werden kann. Dies wird als «Initial Access Malware» bezeichnet.

Fachleute sprechen von Droppern und Loadern, weil Cyberkriminelle damit auf gehackten Systemen weitere Malware installieren können. Hauptsächlich betroffen ist das Microsoft-Betriebssystem Windows. Infizierte Rechner werden in Verbünden, sogenannten Botnets, zusammengeschlossen.

Der Einsatz habe sich vor allem gegen die Gruppierungen hinter sechs Schadsoftware-Familien, teilen das deutsche Bundeskriminalamt und Europol mit:

• «IcedID», auf Englisch ein «Remote Access Trojan» (RAT), also eine Schadsoftware, die heimlichen Zugriff auf fremde System ermöglicht, sie wurde erstmals 2017 in freier Wildbahn gesichtet. Ursprünglich wurden damit E-Banking-User attackiert.
• «SystemBC», eine erstmals 2018 gesichtete Proxy-Malware, ermöglicht es Cyberkriminellen, einen kompromittierten Computer (Host) fernzusteuern und zusätzliche Nutzerdaten zu stehlen.
• «Bumblebee», ein Malware-Loader, entdeckt 2022, soll von der Ransomware-Bande Conti entwickelt worden sein. Das Trickbot-Cybercrime-Syndikat soll ihn bei Cyberattacken als Ersatz für die berüchtigte BazarLoader-Malware eingesetzt haben.
• «Smokeloader» ist die Bezeichnung für eine Gruppe von Trojanern, die sich nahezu perfekt tarnt in fremden Systemen und mit denen auch andere Malware auf infizierten Rechnern gelöscht werden konnte. Die Ursprünge reichen bis ins Jahr 2011 zurück.
• «Pikabot» ist ein relativ neuer Trojaner, der Anfang 2023 auftauchte, es handelt sich um den Nachfolger des berüchtigter QakBot-Trojaner (QBot), der auch von Ransomware-Banden verwendet wurde.
• «Trickbot» war ursprünglich ein Bank-Trojaner für Windows-Systeme, der 2016 erstmals beobachtet wurde. Die mutmasslich russischen Entwickler machten daraus eine modulare Schadsoftware, die diverse Angriffsmöglichkeiten bietet. Damit lassen sich von infizierten System etwa wertvolle Daten stehlen und Verschlüsselungsattacken starten.

Diese Schadsoftware werde mit mindestens 15 Ransomware-Gruppierungen in Verbindung gebracht.

Wer sind die Täter?

Bei den von deutschen Behörden koordinierten Massnahmen sind den Angaben zufolge zehn internationale Haftbefehle erlassen und vier Menschen vorläufig festgenommen worden. Gegen insgesamt acht Akteure seien von Deutschland Haftbefehle erlassen worden.

Auf dieser Grundlage werde nach sieben Personen gefahndet, die im dringenden Verdacht stünden, «sich als Mitglied an einer kriminellen Vereinigung zum Zwecke der Verbreitung der Schadsoftware Trickbot beteiligt zu haben», teilten die Ermittler weiter mit.

Sie sollen für Trickbot und Co. verantwortlich sein:

Auf der BKA-Website ist ein Fahndungsaufruf für diese acht Russen veröffentlicht worden.Screenshot: bka.de

Bei dem Einsatz am Dienstag und Mittwoch gab es den Angaben zufolge Durchsuchungen in insgesamt 16 Objekten in Armenien, den Niederlanden, Portugal und der Ukraine, bei denen zahlreiche Beweismittel sichergestellt worden seien. Die dabei sichergestellten Daten würden derzeit ausgewertet und könnten zu weiteren Ermittlungen führen.

Wie wichtig ist das?

Die Auswirkungen der Operation Endgame sind noch nicht absehbar. Es handelt sich um einen massiven Schlag gegen kriminelle Banden, von denen viele Hintermänner aus Osteuropa und Russland stammen. Betroffen sind auch die gefährlichsten Ransomware-Gruppen, die weltweit Milliardenschäden anrichten.

«Mit der bislang grössten internationalen Cyber-Polizeioperation ist den Strafverfolgungsbehörden ein bedeutender Schlag gegen die Cybercrime-Szene gelungen», sagte BKA-Vizepräsidentin Martina Link. «Der aktuelle Erfolg stützt sich auf Massnahmen gegen Infrastrukturen, Akteure und ihre Finanzmittel.»

Nur mit gemeinsamen Massnahmen wie der Beschlagnahme krimineller IT-Infrastruktur und der Abschöpfung kriminell erlangter Finanzmittel könne man «die Verantwortlichen von global tätigen Schadsoftware-Gruppierungen» effektiv verfolgen, wird Oberstaatsanwalt Benjamin Krause von der Zentralstelle zur Bekämpfung der Internetkriminalität (ZIT) bei der Generalstaatsanwaltschaft Frankfurt am Main zitiert.

Wer ist an der Operation Endgame beteiligt?

An der Aktion waren demnach Strafverfolger aus den Niederlanden, Frankreich, Dänemark, Grossbritannien, Österreich sowie den USA beteiligt. Unterstützt wurden sie von der europäischen Polizeibehörde Europol und der Agentur der Europäischen Union für justizielle Zusammenarbeit in Strafsachen (Eurojust).

Im Rahmen internationaler Rechtshilfe hätten sich auch die portugiesischen, ukrainischen, schweizerischen, litauischen, rumänischen, bulgarischen sowie armenischen Strafverfolgungsbehörden beteiligt.

Quellen

• bka.de: Operation „Endgame“: Bundeskriminalamt und internationalen Partnern gelingt bisher größter Schlag gegen weltweite Cybercrime
• bka.de: Die Generalstaatsanwaltschaft Frankfurt am Main, ZIT und das BKA bitten um Ihre Mithilfe! (Fahndungsaufruf)
• operation-endgame.com: Website zur internationalen Polizeiaktion

(dsc/sda)