Windows-Gerätekennung half dem FBI, mutmaßlichen Scattered-Spider-Hacker mit einem Angriff auf einen Einzelhändler in Verbindung zu bringen

US-Staatsanwälte erklären, dass eine dauerhafte Windows-Gerätekennung Ermittlern dabei half, ein mutmaßliches Scattered-Spider-Mitglied mit einem Angriff auf einen Luxusjuwelier im Jahr 2025 in Verbindung zu bringen – laut einer kürzlich entsiegelten Bundesbeschwerde.

Im Mittelpunkt des Falls steht der 19-jährige Peter Stokes, ein US-estnischer Doppelstaatsbürger, der online unter dem Namen „Bouquet“ bekannt ist. Er wurde aus Finnland ausgeliefert und erschien am 30. Juni in Chicago vor Gericht. Ihm werden unter anderem Verschwörung, unbefugtes Eindringen in Computersysteme und Betrug vorgeworfen. Die Staatsanwaltschaft betont, dass für ihn weiterhin die Unschuldsvermutung gilt.

Wie der Einzelhändler angegriffen wurde

Der Beschwerde zufolge riefen die Angreifer zwischen dem 12. und 15. Mai 2025 beim IT-Helpdesk des Einzelhändlers an. Sie verwendeten Google-Voice-Nummern und gaben sich als Mitarbeiter aus, die den Zugriff auf ihre Konten verloren hatten. Indem sie die Mitarbeiter dazu brachten, Passwörter und mit der Multi-Faktor-Authentifizierung verknüpfte Mobilgeräte zurückzusetzen, erlangten sie die Kontrolle über drei Konten, darunter zwei von IT-Administratoren.

Nachdem sie sich Zugang verschafft hatten, setzten die Angreifer mutmaßlich ngrok und ein zweites Tunneling-Tool namens Teleport ein, um sich im Netzwerk zu bewegen und mindestens 77 Gigabyte an Daten in Amazon-Cloud-Speicher zu exfiltrieren. Die Staatsanwälte erklären außerdem, dass die Angreifer versucht hätten, Ransomware einzusetzen. Das Sicherheitsteam des Unternehmens habe diesen Versuch jedoch gestoppt und die Angreifer aus dem Netzwerk entfernt. Später erhielt der Einzelhändler eine Lösegeldforderung über 8 Millionen US-Dollar in Kryptowährung, zahlte jedoch nicht.

Das Unternehmen schätzt seine Verluste durch Betriebsunterbrechungen, Reaktion und Bereinigung auf rund 2 Millionen US-Dollar. Ermittler erklären, der Vorfall verdeutliche eine häufige Schwachstelle: die Social-Engineering-Manipulation von Support-Mitarbeitern statt der Ausnutzung einer Softwarelücke.

Wie die Ermittler das Gerät zurückverfolgten

Berichten zufolge brachten Microsoft-Aufzeichnungen den Angriff mit einer globalen Gerätekennung in Verbindung, die einer Windows-Installation zugeordnet war. In der Beschwerde heißt es, diese Kennung sei mit der Erstellung des ngrok-Kontos verknüpft gewesen und später bei Aktivitäten im Zusammenhang mit Online-Konten aufgetaucht, die die Staatsanwaltschaft Stokes zuschreibt. Die Ermittler glichen außerdem IP-Adressen und Reisedaten mit Orten wie Tallinn, New York und Thailand ab.

• Das Gerät besuchte die ngrok-Anmeldeseite genau zu dem Zeitpunkt, als das Konto erstellt wurde.
• Später stellte es über denselben Proxy eine Verbindung zur Website des Einzelhändlers her.
• Zugehörige Social-Media- und Messaging-Konten wurden mit denselben Orten und Zeiträumen in Verbindung gebracht.

Forscher und Staatsanwälte diskutieren weiterhin darüber, ob Scattered Spider als eine Organisation oder als loses Netzwerk kleiner Zellen betrachtet werden sollte. In jedem Fall erweitert die Beschwerde die wachsende Liste von Festnahmen, die mit dem gemeinsamen Vorgehen der Gruppe aus Phishing, dem Missbrauch von Helpdesks und identitätsbasierten Angriffen in Verbindung stehen.