Polizei in Spanien, Deutschland, dem Vereinigten Königreich und Rumänien hat eine koordinierte Operation gegen die mutmaßliche Ransomware-Gruppe KillSec durchgeführt, drei Personen festgenommen und die Kontrolle über Infrastruktur übernommen, die mit ihrer Datenleck-Operation in Verbindung steht.
Die Hamburger Polizei teilte mit, dass am 30. September in Alicante, Spanien, ein 16-Jähriger festgenommen wurde, der im Verdacht steht, als Hauptadministrator der Gruppe tätig gewesen zu sein. Spanische Behörden durchsuchten eine Wohnung und ein Hotelbüro in der Provinz und beschlagnahmten Computer, Mobiltelefone und Kryptowallets. Bei einer ersten Analyse wurden Berichten zufolge Transaktionen festgestellt, die mit Lösegeldzahlungen übereinstimmen.
Laut Europol wurden zwei weitere Verdächtige, beide in ihren Zwanzigern, im Vereinigten Königreich und in Rumänien festgenommen. Rumänische Staatsanwälte erklärten, gegen einen 24-Jährigen werde wegen mutmaßlicher Straftaten ermittelt, darunter unbefugter Zugriff auf Computersysteme, Datenübertragungen, Einsatz schädlicher Werkzeuge, Erpressung und Beteiligung an einer organisierten kriminellen Gruppe. Die Verdächtigen wurden nicht verurteilt, und die Festnahmen sind vorläufig.
Infrastruktur und Daten beschlagnahmt
Die Behörden führten acht Durchsuchungen in Spanien, Griechenland, dem Vereinigten Königreich und Rumänien durch. Ermittler erklärten, sie hätten fünf Server abgeschaltet, darunter einen mutmaßlichen Hauptserver von KillSec, und auf fünf Domains Beschlagnahmehinweise angebracht. Zudem sicherten sie mindestens 110 Terabyte an Daten, um nach der Übernahme der Leak-Website der Gruppe weiteren unbefugten Zugriff zu verhindern.
Der Fall wurde von Europol und Eurojust koordiniert, mit Unterstützung des FBI-Büros in San Juan, von US-Staatsanwälten in Puerto Rico sowie der Sicherheitsunternehmen Bitdefender und Group-IB. Puerto Rico hat Berichten zufolge die Auslieferung der im Vereinigten Königreich festgenommenen Person beantragt.
Mutmaßliche Erpressungsaktivitäten
Ermittler gehen davon aus, dass KillSec Organisationen über ausgenutzte Software-Schwachstellen, schwache Zugriffskontrollen und in einigen Fällen über Zugangsdaten kompromittierte, die auf kriminellen Marktplätzen erworben wurden. Die Gruppe soll interne Daten kopiert und damit gedroht haben, diese zu veröffentlichen oder zu verkaufen, sofern die Opfer nicht zahlten.
Die Hamburger Polizei teilte mit, die Ermittlungen umfassten weltweit rund 1.000 mutmaßliche Vorfälle, von denen bislang etwa 500 zu erfolgreichen Kompromittierungen geführt haben sollen. Die spanische Polizei nannte mehr als 280 Opfer. Die Behörden untersuchen weiterhin beschlagnahmte Geräte, Daten und Kryptowährungsaktivitäten, um weitere betroffene Organisationen und mögliche Beteiligte zu identifizieren.
KillSec war zuvor von Forschern als Gruppe beschrieben worden, die sich von hacktivistischen Aktivitäten zu Ransomware- und Datenerpressungsoperationen entwickelt habe. Vertreter der Behörden erklärten außerdem, sie prüften Behauptungen, wonach Werkzeuge der künstlichen Intelligenz zur Unterstützung der Opferauswahl und des Infrastruktur-Betriebs eingesetzt worden seien, nannten jedoch keine technischen Details.