Phineas Fisher: 100.000 Dollar für antikapitalistische Firmen-Hacks
Mit einem ungewöhnlichen Bug-Bounty-Programm will der Hacker Phineas Fisher Angriffe auf ausbeuterische Firmen anregen. In einem "hacktivistischen Bug-Bounty-Programm" verspricht er bis zu 100.000 US-Dollar für jeden erfolgreichen Angriff in Abhängigkeit vom öffentlichen Interesse und der Wirkung des Hacks sowie dem damit verbundenen Aufwand. Er wolle mit dem Geld niemanden reich machen, sondern lediglich ausreichende Mittel bereitstellen, damit Hacker ihren Lebensunterhalt in würdiger Weise mit guter Arbeit verdienen könnten, erklärt Fisher. Der Hacker war bekannt geworden, weil er in den vergangenen Jahren die Trojaner-Hersteller Gamma International und Hacking Team gehackt hatte.
Die Ankündigung findet sich unter Punkt 14 in einer mehr als 9.000 Wörter langen spanischsprachigen Anleitung(öffnet im neuen Fenster) , in der Phineas Fisher den Hack der Offshore-Bank Cayman Bank and Trust Company vor fast vier Jahren beschreibt. Das kapitalismuskritische Manifest wurde ebenso wie zwei Terabyte an Daten auf der Domain Ddossecrets.com veröffentlicht(öffnet im neuen Fenster) .
Bank bestätigt Angriff
Die auf der Kanalinsel Isle of Man ansässige Bank bestätigte nach Angaben des IT-Portals Motherboard(öffnet im neuen Fenster) , von Hacking-Aktivitäten betroffen gewesen zu sein. Es seien jedoch keine Hinweise auf finanzielle Verluste gefunden worden, weder auf Seiten der Kunden noch auf Seiten der Bank. Motherboard hatte am 17. November 2019 zuerst über das Bug-Bounty-Programm berichtet(öffnet im neuen Fenster) .
Phineas Fisher räumt in dem Manifest ein, wegen der unzureichenden Vorbereitung illegaler Bankkonten ( Bank Drops(öffnet im neuen Fenster) ) damals "nur wenige Hunderttausend" erbeutet zu haben. Zusammen mit anderen Banken-Hackern könne es jedoch möglich sein, Hunderte Banken zu hacken, so wie es vor einigen Jahren durch das Schadprogramm Carnabak(öffnet im neuen Fenster) gelungen sei. Das Geld könne dann in "radikale soziale Projekte" fließen.
Neue Details zu Hacking-Team-Hack
In Abwandlung eines chinesischen Sprichwortes verfolgt Fisher mit der Hacking-Anleitung das Ziel: "Gib einem Menschen einen Exploit und er kann sich einen Tag lang einen Zugang verschaffen. Lehre ihn phishen, und er wird sein ganzes Leben lang Zugang bekommen." Allerdings hackte er nach eigenen Angaben die Bank nicht mit ausgefeilten Phishing-Methoden, sondern gelangte mithilfe des Shellshock-Exploits in eine Firewall von Sonicwall.
Dieses Detail habe er in der 2016 veröffentlichten Anleitung des Hacking-Team-Hacks noch nicht genannt, weil Dell, seit 2012 Eigentümer von Sonicwall , den Bug nicht richtig gefixt gehabt habe, erklärte Fisher in seinem neuen Manifest. Daher sei damals der falsche Eindruck entstanden, dass es sich bei Phineas Fisher um einen (oder mehrere) Elite-Hacker handele, während er in Wirklichkeit nur eine einfache Sicherheitslücke ausgenutzt habe.
Aufruf zur internen Spionage
Der Anleitung zufolge überwachte der Hacker die drei für Swift-Überweisungen zuständigen Bankmitarbeiter mit Hilfe von Keyloggern und Screengrabbern. Da er die Passwörter der Mitarbeiter erbeutet hatte, konnte anschließend selbst Überweisungen veranlassen. Allerdings fielen die illegalen Überweisungen bereits nach einem Tag auf, weil er bei einer geplanten Transaktion in Höhe von 200.000 Britischen Pfund nach Mexiko eine falsche Angabe gemacht hatte.
Mit dem erbeuteten Geld zielt Phineas Fisher nun auf Hacks von Firmen, die im Bergbau sowie in der Holz- und Viehwirtschaft aktiv sind "und unser schönes Lateinamerika ausbeuten" . Auch interessiert ihn Material zu Militärdienstleistern wie Blackwater (jetzt Academi(öffnet im neuen Fenster) ) oder Halliburton(öffnet im neuen Fenster) sowie zu privaten Gefängnisbetreibern oder Lobbyisten wie ALEC(öffnet im neuen Fenster) .
Aus den Bergen des Cyber-Südostens
Phineas Fisher will aber mit dem Geld aus seinem digitalen Bankraub nicht nur Hacker finanzieren, sondern auch Mitarbeiter zum Ausspionieren ihrer Firma oder Chefs anstiften. Als Beispiel nennt er die Installation von Keyloggern oder das Verstecken von Mikrofonen in Konferenzräumen.
Ganz zum Schluss gibt er noch einen Hinweis auf seinen virtuellen Aufenthaltsort: "Grüße aus den Bergen des Cyber-Südostens." Es dürfte viele Ermittler geben, die Phineas Fisher dort gerne ausfindig machen wollen.