Cybercrime: Neun Jahre Jagd auf Bayrob

Über neun Jahre lang jagten das FBI und Symantec eine kriminelle Gruppe, die gefälschte Auktionen durchführte und mit einem Botnetz Kryptomining betrieb. Erst im vergangenen Jahr konnten die mutmaßlichen Hintermänner verhaftet werden.

Ein Bericht von veröffentlicht am
Die Kriminellen hinterließen im Code Grußbotschaften an die Sicherheitsfirma.
Die Kriminellen hinterließen im Code Grußbotschaften an die Sicherheitsfirma. (Bild: Symantec)

Es begann im Jahr 2007 mit einer gefälschten Ebay-Auktion für einen Geländewagen. Knapp unter 10.000 US-Dollar sollte der Wagen kosten, ein Schnäppchen für den angebotenen Zustand. Angeboten wurde der Wagen in Cleveland im US-Bundesstaat Ohio über Ebay.

Doch wer hier zuschlagen wollte, wurde getäuscht und bekam weder das Auto noch sein Geld zurück. Denn die Anzeigen waren gefälscht - von einer der am längsten laufenden kriminellen Operationen im Internet, die bislang bekannt ist. Von der Jagd auf die Macher, die hinter der über viele Jahre operierenden Bayrob-Kampagne steckten, hat der Malware-Analyst Liam O'Murchu auf der Sicherheitskonferenz Virus Bulletin in Madrid berichtet.

Onlinebetrug, Phishing, Spam

Für die Ermittlungen, die bis 2016 dauerten, arbeitete die US-Bundespolizei FBI mit der Sicherheitsfirma Symantec zusammen, dem Arbeitgeber von O'Murchu. Die Zusammenarbeit endete, als das FBI im vergangenen Jahr verkündete, dass drei Männer in Rumänien verhaftet und an die USA ausgeliefert wurden, die hinter der Operation stecken sollen. Der Prozess gegen die Männer dauert noch an, sie sind also noch nicht rechtskräftig verurteilt.

Bayrob nutzte über die Jahre zahlreiche illegale Geschäftsmodelle - von normalem Online-Betrug über Phishing-Angriffe auf Paypal, Facebook und andere Dienstleister. Auch Kreditkartenbetrug, Kryptomining und Spam gehörten zum Repertoire der Gruppe. Viele der Aktivitäten und Vorgehensweisen der Bayrob-Macher wurden in den vergangenen Jahren von anderen Gruppen kopiert. "Die Angeklagten haben durch ein raffiniertes Betrugssystem mehrere Millionen US-Dollar von Menschen in den Vereinigten Staaten gestohlen, während sie von Osteuropa aus operierten", sagte die US-Staatsanwältin Carole S. Rendon.

Stellenmarkt
  1. Webdesigner (m/w/d)
    CSL-Computer GmbH & Co KG, Hannover
  2. IT-Spezialist (m/w/d) | als Teamleiter
    Honda R&D Europe (Deutschland) GmbH, Offenbach
Detailsuche

Ihre Methoden waren für die damalige Zeit schon sehr ausgeklügelt. Die Malware war auf spezielle Opfer und auf bestimmte Regionen zugeschnitten. Versuchten Analysten, sie an einem andern als dem Bestimmungsort auszuführen, versagte sie den Dienst und löschte alle verknüpften Dateien. Das Programm prüfte nach Angaben von O'Murchu auch, ob bestimmte E-Mail-Adressen auf einem Rechner eingerichtet waren, und beschränkte seine Operationen oder vernichtete sich selbst, wenn das nicht der Fall war.

Kundenservice, Kundenservice, Kundenservice

Außerdem hatten die Kriminellen früh erkannt, was heute vor allem Ransomware-Entwickler beherzigen: Guter Kundenservice ist Pflicht. Und so entwickelten sie einen Kundenchat für Ebay - lange bevor die Plattform selbst eine ähnliche Funktion einführte. Die Chats wurden außerdem in fehlerfreiem Englisch abgewickelt, was Vertrauen in die Seriosität der Anbieter herstellen sollte.

Um die Kunden hereinzulegen, schalteten die Betrüger nicht etwa korrekte Ebay-Anzeigen. Stattdessen injizierte die Malware Angebote in die Ebay-Suchergebnisse im Browser. Neben den korrekten Angeboten standen also besonders attraktiv erscheinende der Kriminellen. Nach Angaben des FBI wurden rund 1000 solcher gefälschten Anzeigen geschaltet.

Diese Anzeigen hatten wie normale Angebote auch ein definiertes Start- und Enddatum. Auch dies erschwerte die Analyse, wenn Nutzer betrügerische Anzeigen nicht sofort meldeten und die gefälschte Auktion zum Zeitpunkt der Untersuchung bereits nicht mehr verfügbar war. Die Bezahlung wurde über einen vermeintlich neutralen Mittelsmann abgewickelt, den das FBI als "Ebay Escrow Agent" bezeichnet. In Wahrheit handelte es sich nur um einen von den Kriminellen angeheuerten Mitwisser. Allein durch den Ebay-Betrug der Gruppe soll nach Angaben des FBI ein Schaden von über 4 Millionen US-Dollar entstanden sein.

Damit Kunden nach einem vermeintlichen Kauf nicht zu schnell misstrauisch wurden, erstellte die Bayrob-Gruppe sogar ein gefälschtes Transportunternehmen samt Webseite und versandte Tracking-Nummern an die Opfer. Damit sollte ihnen suggeriert werden, dass das gekaufte Auto bereits auf dem Weg war.

Die Malware konnte aber noch mehr - und teilte das den Sicherheitsforschern sogar mit.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
Myebay-Malware bringt eine Featureliste mit 
  1. 1
  2. 2
  3. 3
  4.  


Aktuell auf der Startseite von Golem.de
Encrochat-Hack
"Damit würde man keinen Geschwindigkeitsverstoß verurteilen"

Der Anwalt Johannes Eisenberg hat sich die Daten aus dem Encrochat-Hack genauer angesehen und viel Merkwürdiges entdeckt.
Ein Interview von Moritz Tremmel

Encrochat-Hack: Damit würde man keinen Geschwindigkeitsverstoß verurteilen
Artikel
  1. Pornhub, Youporn, Mydirtyhobby: Gericht bestätigt Zugangsverbot für Pornoportale
    Pornhub, Youporn, Mydirtyhobby
    Gericht bestätigt Zugangsverbot für Pornoportale

    Die Landesmedienanstalt NRW hat zu Recht gegen drei Pornoportale mit Sitz in Zypern ein Zugangsverbot verhängt.

  2. Sony Xperia Pro-I mit herausragender Kamera bei Saturn
     
    Sony Xperia Pro-I mit herausragender Kamera bei Saturn

    Sony bringt mit dem Xperia Pro-I ein neues Top-Smartphone auf den Markt. Wer jetzt vorbestellt, sichert sich zusätzlich ein kostenloses Geschenk.
    Ausgewählte Angebote des E-Commerce-Teams

  3. Gigafactory Grünheide: Tesla rekrutiert hauptsächlich regionale Arbeitskräfte
    Gigafactory Grünheide
    Tesla rekrutiert hauptsächlich regionale Arbeitskräfte

    Entgegen den Befürchtungen der Gegner profitieren vor allem Berlin und Brandenburg von Teslas neuer Fabrik in Brandenburg.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Gaming-Monitore zu Bestpreisen (u. a. Samsung G9 49" Curved QLED 240Hz 1.149€) • Spiele günstiger: PC, PS5, Xbox, Switch • Zurück in die Zukunft Trilogie 4K 31,97€ • be quiet 750W-PC-Netzteil 87,90€ • Kopfhörer von Beats & Gaming-Stühle zu Bestpreisen [Werbung]
    •  /