FBI-Spyware: Auf der Suche nach Pädokriminellen im Tor-Netzwerk
Um Pädokriminellen im Anonymisierungsnetzwerk Tor auf die Spur zu kommen, hat das FBI Malware eingesetzt und sie über offene Sicherheitslücken verbreitet. Dafür holten sie entsprechende Durchsuchungsbefehle ein. Obwohl die US-Strafverfolgungsbehörden offenbar bei ihrer Aktion gezielt gegen Pädokriminelle vorgegangen sind, befürchten Datenschutzaktivisten, dass weitere Aktivitäten des FBI auch Unschuldige treffen könnten. Sie fordern eine öffentliche Debatte über die Nutzung von Malware durch offizielle Stellen. Die US-Justiz will ihre Durchsuchungsbefehle unabhängig vom Standort durchsetzen.
Im Tor-Netzwerk können politische Aktivisten, Journalisten oder Whistleblower weitgehend unbehelligt kommunizieren. Schon diese Freiheit ist nicht allen Regierungen geheuer: Russland lobte jüngst eine Belohnung für diejenigen aus, denen es gelingt, die Anonymität im Tor-Netzwerk zu unterwandern. China versucht seit langem, Tor-Benutzer im eigenen Land zu behindern oder ausfindig zu machen. Tor wird sogar von offiziellen US-Behörden mitfinanziert und -entwickelt. Mitarbeiter des US-Außenministeriums sollen das Netzwerk aktiv nutzen.
Anonymität für Kriminelle
Die weitgehende Anonymität lockt aber auch Kriminelle an. Im Tor-Netzwerk werden Drogen verkauft, illegale Downloads und eben auch pädokriminelles Material angeboten. Um die Täter ausfindig zu machen, organisierte das FBI zusammen mit der niederländischen Polizei die Operation Torpedo(öffnet im neuen Fenster). Die Niederländer entwickelten einen Crawler, der sämtliche Webseiten im Tor-Netzwerk aufspüren sollte, die pädokriminelles Material anbieten. Dann sollte ermittelt werden, wo die Server standen und wer sie betreibt – im Tor-Netzwerk eine fast unmögliche Aufgabe.
Bei einer Webseite stießen die niederländischen Beamten auf einen unbedarften Betreiber, der vergessen hatte, das Admin-Konto abzusichern. Über dieses fanden die Fahnder heraus, dass die IP-Adresse zu insgesamt drei Servern mit drei verschiedenen Webseiten im Mittleren Westen der USA führte.
Operation Torpedo gegen Pädophile
Das FBI observierte den Verdächtigen ein Jahr lang und beriet sich gleichzeitig mit dem US-Justizministerium, um die legalen Rahmenbedingungen für die Operation Torpedo zu erarbeiten. Schließlich übernahm das FBI die Server, legte die Webseite jedoch nicht lahm, sondern platzierte dort eine Software, im FBI-Jargon NIT (Network Investigative Technique) genannt. Sie wurde über eine Schwachstelle im Tor-Browser auf andere Rechner übertragen, die die Webseite besuchten – ein klassischer Drive-by-Angriff.
Durchsuchungsbefehl genehmigt Spyware
Dazu ließ sich das FBI Durchsuchungsbefehle von einem Bezirksrichter ausstellen, einen für jeden der drei beschlagnahmten Server. Nach US-Recht muss zwar der Verdächtige, dem der Durchsuchungsbefehl gilt, zeitnah darüber informiert werden, das FBI ließ sich jedoch von dem Bezirksrichter einen 30-tägigen Aufschub genehmigen. In dieser Zeit ermittelte das FBI mit Hilfe ihrer Spyware 25 weitere Verdächtige, die jetzt vor Gericht stehen(öffnet im neuen Fenster). Ihre Anwälte wollen die durch die Spyware gesammelten Daten vor Gericht nicht zulassen, denn einige ihrer Mandanten hätten erst nach einem Jahr von der FBI-Spyware auf ihrem Rechner erfahren.
Magneto sammelt Daten fürs FBI
Mittlerweile wurde bekannt, dass das FBI sowohl gegen Freedom Hosting, die das Tor-Netzwerk nutzen, als auch gegen Tor-Mail vorgegangen ist. Der dabei entdeckte Javascript-Code namens Magneto sammelt die MAC-Adresse sowie den Hostnamen eines Windows-Rechners und verschickt sie an einen FBI-Server. Damit ermitteln die Fahnder auch die IP-Adresse.
Hier sieht der Datenschutzaktivist und IT-Experte Chris Soghoian vom ACLU die Gefahr, dass bei den Durchsuchungen des FBI auch Unschuldige betroffen sein können. Es könne sich um eine Rasterfahndung und nicht mehr um gezielte Ermittlungen handeln, sagte Soghoian dem Magazin Wired(öffnet im neuen Fenster). Sollte die US-Bundespolizei beispielsweise eine Jihadisten-Webseite im Tor-Netzwerk auf ähnliche Weise präparieren, könnten auch Journalisten, Forscher oder Anwälte mit FBIs NIT infiziert werden. Tatsächlich ist der Schadcode auf legitimen Seiten in Freedom Hosting aufgetaucht.
Keine Spyware, nur Zusatzcode
Soghoian moniert ferner, dass in den Durchsuchungsbefehlen nirgends das Wort Hack, Malware oder Exploit auftaucht. Dort ist nur die Rede von einer "Erweiterung des Serverinhalts mit zusätzlichem Code." Es sei zu befürchten, dass Richter nicht genügend über die Art der NITs informiert würden, die das FBI einsetzen will.
Das US-Justizministerium will indes den rechtlichen Rahmen für Durchsuchungsbefehle ausweiten. Sie sollen explizit die Durchsuchung von "elektronischen Speichermedien" und die Beschlagnahmung von Daten zulassen – unabhängig von der Gerichtsbarkeit. Nur so lasse sich nach Tätern im Tor-Netzwerk fahnden, heißt es in einem Papier der Richterkonferenz in den USA(öffnet im neuen Fenster). Denn diese versuchten gezielt, ihren Standort zu verschleiern. Dieser Vorschlag geht einher mit einem Urteil eines US-Bundesrichters, dass Microsoft E-Mails von Kunden aushändigen muss, auch wenn diese in seiner europäischen Cloud gespeichert sind.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.