Autorin | Podcasterin | Datenschutzexpertin
Als nächstes gibt es bald eine Workbook-Edition des #PrivacyBook. Das gesamte Buch, allerdings erweitert um über 20 Arbeitsblätter und Checklisten, die die Umsetzung noch einfacher zu machen.
Der geplante Start ist der 1. Juni. Mein erstes Arbeitsbuch! Wenn das gut funktioniert, mach ich das für die deutschsprachige Ausgabe auch nochmal. 😉
Knowledge is power. Knowing nothing makes one envious when looking at the model of modern information societies. The natural application of networks that transport information is espionage. So the Internet early made acquaintance with it. The aspect of smuggling messages in and out of an area is obvious. It also involves breaking through security measures to gain access to protected information.
Whereby large parts of our own information are much less protected than we would like or even be aware of. The e-mails mentioned above are always in plain text and therefore are visible to everyone. An unknown number of third parties read them on the way from sender to recipient and assess this information. And all the information we have in accounts on US platforms (photos, more or less public postings, direct messages, etc.) is viewable by authorities in the US and anyone who cooperates with the US. It would not be the first time that people may not enter a country because of a social media posting or a direct message on a platform.
Martin B. from A. earns his money as a contractor. He has a small company under which he offers good old IT services: Setting up printers, maintaining the networks of small businesses, occasionally building a website for individual entrepreneurs. That doesn’t make a lot of money, but it provides a valid umbrella for his actual business. Martin B. takes care of a couple of command & control servers that are used by several large campaigns on the net to control and manage malware. He doesn’t know the names of his clients. The last three had given long strings of letters and numbers as their nicknames. He gets his money from changing number accounts in different crypto currencies. Most of the time, these accounts exist for only a few days. He has given up trying to track them. He doesn’t even want to know. Martin B. keeps using different nicknames and different number accounts himself at irregular intervals. One for each incoming payment. He rarely uses a nickname or number account twice. At the moment he is on the road as „ldra002“. And his mission is to spin up a new command & control server for a malware called Ryuk. The specifications given to him are impressively large, and the job gives good money. Presumably his clients have something bigger in mind with it. Martin B. doesn’t ask. Asking is bad for the business. Instead, he randomly pulls out one of the recently purchased credit cards from the digital file box and rents a virtual server for 21 days from a major provider. He smiles when he reads the name: Leon Dragic. How funny and very fitting for his current pseudonym. Already the day after tomorrow he will use another one—far earlier than Leon would get the bill.
With sufficient digitization, we can leave both the production of goods and the destruction of production facilities to the machines. Where once you had to laboriously smuggle explosives and have them planted by agents, today you can have that done by software. Industrial facilities such as power supplies, energy transport by pipelines, chemical or nuclear processing, manufacturing or related constructs are vulnerable to failure. It is also possible to interfere with measurement and control processes to force deliberate decisions out of machines based on false values. This type of digital sabotage rarely manifests in spectacular explosions. More like a production coming to a standstill or exhibiting a serial defect. The best sabotage goes unnoticed for a long time.
For the execution of such perfidious attacks, one can assign one’s own people or hire silent service providers for a lot of tax money.
One topic we should address at this point is the so-called „state Trojan“—a piece of software that carries many problems. Starting with the fact that we now live in a society in which those in power have a fundamental distrust in all citizens and we are all under a general suspicion of planning the next terrorist attack. Followed by a spyware to be foisted on all of our most personal devices. We mean our smartphones.
That this software exists at all, brings all kinds of problems. For example, finding a way for malware to get access to the right data in the first place. With unsecured or minimally secured devices like IoT devices, this is easy. But our cell phones, which are targeted by governments because they are our personal communication hub, are quite a different level, because they are usually well secured. To get “root privileges” (super admin, quasi “god mode”) there, you have to find a really fat (and therefore expensive) security hole. And those exist. It has a reason that the manufacturers of our devices release security updates now and then to close freshly found security holes and to keep the operating systems and apps secure as well as they can. However, there is a large black market, where security holes are sold to the highest bidders. If you have read this far, you won’t be surprised. Criminals always find ways to compromise devices. Unlike security researchers, who basically do the same thing but report their findings to manufacturers and help them close the loopholes and make the world a little safer for everyone, the criminals make money out of it. And cui bono? Who is buying into these gaps? Other criminals and governments, who use them to build state Trojans against their own citizens. A highly problematic black market is not only kept alive, they actually fuel it with our tax money.
In application, such spy programs are then also problematic. On the one hand, legally, because a malware for communication monitoring needs really deep rights on a cell phone. For example, if it is to read communication data in secure messengers, it must be able to read the content on the sender’s device before encrypting it. A secure messenger sends the data „end-to-end encrypted“, i.e. the content of the message can only be read at both ends by the sender and the recipient. On the way in between, you can see that a message exists, but the content is not readable from the outside, only „character salad“. Malware that is supposed to be able to read message content before it is encrypted and forward it to the outside world needs super admin rights on the cell phone. And with that, it can read everything that happens on the device, including the phonebook, photos, content in other apps, listen in on phone calls, and whatever else the device can do. That’s much, much more than the authorities are actually allowed to do, but it’s technically impossible for the software to do less than that.
And last, but not least, the problem where application and purchase of vulnerabilities coincide: The provability. Who says that criminals have sold this one vulnerability (or even the many) only to this one government? It is possible for anyone with enough money to buy anything on a black market. And private individuals or highly professional criminals like the ones we described above can afford three-, four- or even five-figure sums. Now, if anyone can create malware, it will be hard to argue that certain evidence is really from a particular person. We remember admin rights: anyone can forge photos, GPS histories, and more through malware and associated access rights to mobile devices. Suddenly evidence is no longer evidence. The question is, who wants to tell which story? What was done with this device, where was it present, what is it supposed to have seen or heard?
And because we have already spent so much tax money on such software, we have to use it, otherwise it would all have been for nothing. Surprisingly enough, 80 million Germans and 8 million Austrians are not planning terrorist attacks on a daily basis. They also don’t organize in child molester rings. Most of them don’t even know where to look on the net for instructions on how to build highly explosive things or for photographs that are rightly forbidden. And they have never heard of the Tor browser for accessing the so-called Darknet. Actually, most of them are also happy not to have anything to do with all this stuff and just live their normal lives. So what to do with this nuclear first-strike weapon? They find a few sparrows in extortion and drug and property crimes (https://netzpolitik.org/2021/justizstatistik-2019-polizei-nutzt-staatstrojaner-vor-allem-bei-erpressung-und-drogen/). And other European countries don’t think their own populations are so dandy either when they advocate independence from the central state (https://www.golem.de/news/nso-group-spanien-setzt-offenbar-staatstrojaner-gegen-katalanen-ein-2007-149659.html).
In the end, what remains is that governments keep mobile devices insecure for everyone for a state-planned purpose against a few criminals. Worldwide. For tax money. And that opens the door for criminals to do whatever they please with all our devices.
First, we waged war on the land. Then came the water. The air is still young as a theater of war. Space is even younger. In the last few decades, the Internet has joined the ranks. The military calls the world of digital warfare, or „cyber warfare,“ the fifth dimension. We fight it with software that either defends against attacks or carries them out. One combines elements of information security (or insecurity) with the dictates of military missions. Including espionage and sabotage.
We often forget information sovereignty in this topic. The manipulation of information is just as much a part of the whole. Influencing news, political decisions, elections or public opinions can have serious consequences. Language becomes a weapon in this process, and the Internet is the delivery system. What is fatal about this kind of manipulation is that even a temporary presentation of messages can have an effect.
Where there’s investigation, digital chips sometimes fall. This also applies to the digital part of investigations. Unfortunately, that’s where forensics meets information security. The basic task of information security is to prevent attacks, the tapping of data and the compromising of systems. Organized crime or the attacks of nations, however, do not abide by laws. Often discussed in this context is therefore the so-called „hack back“ or „hacking back“ in attacks. This involves actively counterattacking the real or alleged perpetrators of an attack. The controversy here is whether one actually catches the right people or only passers-by or unsuspecting deputies who are involved in the attack. Another issue is the loss of trustworthiness of online platforms and digital infrastructure when backdoors are introduced to access data and digital activities. The major argument for backdoors is the protection of data through encryption. However, seatbelts with predetermined breaking points are no longer. Said backdoors can be used by investigators and criminals alike. We will all be the losers.
Information security is to protect digital data and infrastructures. The tools required for this are barriers that protect the digital assets from unauthorized access. These include secure encryption, protection of transport and storage location, and restricted access to data and systems. The quality of protection depends on the means available. Third party access to IT systems or data can only be achieved with a backdoor or designated access permissions. If one would like to protect oneself from access by third parties, only weak points or duplicate keys remain for investigators and attackers. This then makes it impossible to implement information security. The technology does not value access ethically. Access by third parties remains an intrusion or attack. The context decides. IT specialists can hardly determine the context when there are signs of access before data is copied. In purely technical terms, there is also no such thing as good or evil access. Access to data remains value-neutral. Any weakening of security measures weakens the capabilities of the defenders.
Catherine is in a jubilant mood. She and her colleagues have just landed an enormous fish. One of the persons behind a large-scale malware campaign against the Ministry of the Interior is sitting next door in the interrogation room. To their own amazement, he has confessed. What is particularly interesting is who else he had to deal with and who was involved in the affair?
Catherine meticulously goes through her notes again. One name keeps popping up here, too. At the same time in the same place … Leon Dragic. The GPS data on his phone speaks volumes. Four out of seven times he was in the same café and once at a demonstration. She is sure by now that Leon is one of those guys who are too sure of themselves. She found him in photos from two demonstrations. Rips on it quite the mouth.
Catherine sends the warrant to the colleagues who will bring Leon in.
We hope, we could show you, that one aspect is central for internet crime: trust. Trust is a good and long-learned thing between humans since the mammoths. But with all the technology in between us, trust nowadays—sadly—is usually in the wrong places.
The End. (For now.)
DeepSec Blog
Easy Ways to Be More Private on the Internet – Klaudia’s book on digital self-defense for beginners
Murderboard-Talk by René and Klaudia at #pw20
00 – Prequel
01 – Chapter 01: Traces
02 – Chapter 02: Investigations
03 – Chapter 03: Serial Hackers
04 – Chapter 04: State Hacking
Wissen ist Macht. Nichts wissen macht neidisch wenn man das Modell moderner Informationsgesellschaften ansieht. Die natürliche Anwendung von Netzwerken die Informationen transportieren ist Spionage. Das Internet hat daher schon früh Bekanntschaft damit gemacht. Der Aspekt Nachrichten in einen Bereich hinein und hinaus zu schleusen ist offensichtlich. Damit verbunden ist auch das Durchbrechen von Sicherheitsmaßnahmen um Zugang zu geschützten Informationen zu kommen.
Wobei weite Teile unserer eigenen Informationen viel weniger geschützt sind als es uns lieb oder auch nur bewusst wäre. Die vorher genannten E-Mails werden grundsätzlich im Klartext und für alle einsehbar verschickt. Eine unbekannte Anzahl Dritter liest sie auf dem Weg von Absender:in zu Empfänger:innen mit und wertet diese Informationen aus. Und alle Informationen die wir in Accounts auf US-amerikanischen Plattformen haben (Fotos, mehr oder weniger öffentliche Postings, Direktnachrichten etc.) sind für Behörden in den USA und allen die mit den USA kooperieren einsehbar. Es wäre nicht das erste Mal dass Menschen wegen eines Social Media Postings oder eine Direktnachricht auf einer Plattform nicht in ein Land einreisen dürfen.
Martin B. aus A. verdient sein Geld als Auftragnehmer. Er hat eine kleine Firma unter der er gute alte EDV-Dienstleistungen anbietet: Drucker einrichten die Netzwerke kleiner Unternehmen warten ab und an mal eine Webseite für Einzelunterehmer:innen bauen. Das macht den Kohl nicht fett aber es bietet einen validen Überbau für sein eigentliches Geschäft. Martin B. kümmert sich um ein paar Command- & Control-Server die von mehreren großen Kampagnen im Netz verwendet werden um Schadsoftware zu kontrollieren und zu steuern. Er weiß nicht wie seine Auftraggeber heißen. Die letzten drei hatten lange Zeichenketten als Nickname angegeben. Sein Geld bekommt er von wechselnden Nummernkonten in unterschiedlichen Cryptowährungen. Meist existieren diese Konten nur wenige Tage. Er hat es aufgegeben ihnen nachzugehen. Er will es auch gar nicht wissen. Martin B. verwendet in unregelmäßigen Abständen selbst immer wieder andere Nicknames und andere Nummernkonten. Eins für jeden Zahlungseingang. Nur sehr selten verwendet er Nickname und Nummernkonto zweimal. Momentan ist er als »ldra002« unterwegs. Und sein Auftrag ist einen neuen Command- & Control-Server für eine Schadsoftware namens Ryuk hochzufahren. Die ihm genannten Spezifikationen sind beeindruckend groß und gibt gutes Geld. Vermutlich haben seine Auftraggeber damit etwas Größeres vor. Martin B. fragt nicht nach. Nachfragen ist schlecht fürs Geschäft. Stattdessen zieht er zufällig eine der unlängst frisch eingekauften Kreditkarten aus dem digitalen Dateikasten und mietet einen virtuellen Server für 21 Tage bei einem großen Anbieter. Er schmunzelt als er den Namen liest: Leon Dragic. Wie lustig und sehr passend zu seinem aktuellen Pseudonym. Schon übermorgen wird er ein anderes verwenden – weit bevor dieser Leon die Rechnung bekommt.
Bei ausreichender Digitalisierung kann man sowohl die Produktion von Waren als auch die Zerstörung von Produktionsstätten den Maschinen überlassen. Wo man früher noch mühsam Sprengstoff schmuggeln und durch Agenten anbringen lassen musste so kann man das heute durch Software erledigen lassen. Industrieanlagen wie Stromversorgung Energietransport in Form von Pipelines chemische oder nukleare Verarbeitungsprozesse Fertigungen oder verwandte Konstrukte reagieren durchaus anfällig auf Ausfälle. Man kann auch in Mess- und Steuerungsabläufe eingreifen um Maschinen gewollte Entscheidungen auf Basis falscher Werte abzuringen. Diese Art der digitalen Sabotage äußert sich selten durch spektakuläre Explosionen. Es reicht völlig wenn eine Produktion zum Erliegen kommt oder Serienfehler aufweist. Die beste Sabotage wird lange nicht bemerkt.
Für die Ausführung solch perfider Angriffe kann man eigene Leute beauftragen oder für viel Steuergelder schweigsame Dienstleister:innen engagieren.
Ein Themenbereich der an dieser Stelle vielleicht angeschnitten werden sollte ist der sogenannte »Staatstrojaner«: ein Stück Software das viele Probleme mit sich bringt. Angefangen damit dass wir mittlerweile in einer Gesellschaft leben in der die Regierenden allen Bürger:innen ein grundsätzliches Misstrauen entgegenbringen und wir alle unter Generalverdacht stehen den nächsten Terroranschlag zu planen. Daher gibt es eine Spionagesoftware die allen Bürger:innen untergeschoben werden können soll.
Schon allein der Weg dahin dass diese Software überhaupt existiert ist gepflastert mit allerlei Problemen. Beispielsweise dass man für eine Schadsoftware eine Möglichkeit finden muss dass diese überhaupt Zugriff auf passende Daten bekommt. Im Fall von ungesicherten oder nur minimal gesicherten Geräten wie IoT-Geräten ist dies einfach. Aber unsere Mobiltelefone auf die Regierungen abzielen weil sie unsere persönliche Kommunikationszentrale darstellen sind schon eine ganz andere Nummer und normalerweise recht gut abgesichert. Um dort »Root-Rechte« (Super-Admin, quasi »Gott«) zu erhalten muss man schon eine richtig dicke (und damit teure) Sicherheitslücke finden. Und die gibt es sogar. Nicht umsonst bringen die Hersteller unserer Geräte alle Nase lang Sicherheitsupdates heraus um immer wieder frisch gefundene Lücken zu schließen und die Betriebssysteme und Apps sicher zu halten. So gut es eben geht. Es gibt allerdings auch hier einen großen Schwarzmarkt auf dem gefundene Sicherheitslücken meistbietend verkauft werden. Wenn Ihr bis hierher mitgelesen habt wird Euch das nicht weiter verwundern. Kriminelle finden immer wieder Wege um Geräte zu kompromittieren. Im Gegensatz zu Sicherheitsforschern die im Grunde dasselbe tun ihre Erkenntnisse allerdings den Herstellern melden und ihnen helfen die Lücken zu schließen und die Welt für alle Menschen ein bisschen sicherer zu machen schlagen die Kriminellen daraus Geld. Und: cui bono? Wer kauft diese Lücken ein? Andere Kriminelle und Regierungen die damit Staatstrojaner gegen ihre eigenen Bürger:innen bauen. Für viel Steuergeld wird ein hochproblematischer Schwarzmarkt nicht nur am Leben erhalten sondern regelrecht befeuert.
Auch in der Anwendung sind solche Spionageprogramme problematisch. Zum einen rechtlich da eine Schadsoftware zur Kommunikationsüberwachung sehr tiefe Rechte auf einem Mobiltelefon braucht. Wenn sie z.B. Kommunikationsdaten in sicheren Messengern mitlesen können soll muss sie die Inhalte vor dem Verschlüsseln auf dem Gerät der Absender:in mitlesen können. Ein sicherer Messenger sendet die Daten »Ende-zu-Ende-verschlüsselt« also ist der Inhalt der Nachricht ausschließlich an den beiden Enden bei Absender:in und Empfänger:in lesbar. Auf dem Weg dazwischen sieht man zwar dass eine Nachricht existiert der Inhalt ist allerdings von außen nicht lesbar sondern nur »Zeichensalat«. Eine Schadsoftware die nun Nachrichteninhalte vor dem Verschlüsseln mitlesen und nach außen weiterleiten können soll braucht Super-Admin-Rechte auf dem Mobiltelefon. Und damit kann sie alles lesen was auf dem Gerät passiert inklusive Telefonbuch Fotos Inhalte anderer Apps Telefongespräche mithören und was das Gerät eben alles kann. Das ist viel viel mehr als Behörden eigentlich dürften aber weniger geht technisch gar nicht damit die Schadsoftware ihren Dienst tut.
Und last not least das Problem wo Anwendung und Einkauf der Sicherheitslücken zusammenfallen: Die Beweisbarkeit. Wer sagt dass Kriminelle diese eine Sicherheitslücke (oder auch die vielen) nur an diese eine Regierung verkauft haben? Es kann jede:r auf einem Schwarzmarkt alles kaufen wenn das nötige Kleingeld da ist. Und drei- vier- oder auch fünfstellige Summen können sich auch Privatpersonen oder hoch professionell aufgestellte Kriminelle wie wir sie oben schon geschildert haben durchaus leisten. Wenn nun jede:r eine entsprechende Schadsoftware erstellen kann wird es schwer zu argumentieren dass bestimmte Beweise wirklich von einer bestimmten Person sind. Wir erinnern uns an die Admin-Rechte: Jede:r kann durch entsprechende Schadsoftware und damit verbundene Zugriffsrechte auf Mobilgeräte Fotos GPS-Verläufe und mehr fälschen und so sind Beweise plötzlich keine Beweise mehr. Sondern höchstens die Frage wer welche Geschichte erzählen will was mit diesem Gerät alles gemacht wurde wo es dabei war was es gesehen oder gehört haben soll.
Aber weil wir jetzt schon soviel Steuergeld für solche Software ausgegeben haben müssen wir sie auch einsetzen sonst wäre ja alles umsonst gewesen. Was man hat muss man auch nutzen. Erstaunlicherweise planen aber 80 Millionen Deutsche und auch 8 Millionen Österreicher:innen gar keine Terroranschläge. Sie sind auch nicht in Kinderschänderringen organisiert. Die meisten wissen nicht einmal wo sie im Netz nach Bauanleitungen für hochexplosive Dinge oder zu Recht verbotenen Fotografien suchen sollten und haben auch noch nie vom Tor-Browser für einen Zugang zum sogenannten Darknet gehört. Um genau zu sein sind die meisten auch froh mit dem ganzen Zeug nichts zu tun zu haben und leben einfach ihr normales Leben. Was also tun mit dieser atomaren Erstschlagswaffe? Ein paar Spatzen finden sich zumindest bei Erpressung Drogen- und Eigentumsdelikten. Und andere europäische Länder finden ihre eigene Bevölkerung auch nicht so knorke wenn diese sich für Unabhängigkeit vom Zentralstaat ausspricht.
Am Ende bleibt dabei über dass für einen staatlich geplanten Einsatzzweck gegen einige wenige Kriminelle die Mobilgeräte für alle Menschen unsicher gehalten werden. Weltweit. Für Steuergeld. Und damit Tür und Tor offenstehen durch die Kriminelle mit allen Geräten anstellen können was ihnen beliebt.
Zuerst führte man Krieg auf dem Land. Dann kam das Wasser dazu. Die Luft ist als Kriegsschauplatz noch jung. Noch jünger ist der Weltraum. In diesen Reigen gesellt sich seit wenigen Jahrzehnten das Internet. Die Welt des digitalen Krieges oder auch »Cyber Warfare« genannt nennen die Militärs die fünfte Dimension. Gekämpft wird mit Software die entweder Angriffe abwehrt oder auch durchführt. Man verbindet Elemente der Informationssicherheit (oder -unsicherheit) mit den Vorgaben militärischer Missionen. Spionage und Sabotage ist dabei inbegriffen.
Die Informationshoheit wird bei diesem Thema oft vergessen. Die Manipulation von Informationen ist ebenso ein Teil des Ganzen. Eine Beeinflussung von Nachrichten politischen Entscheidungen Wahlen oder Meinungen in der Öffentlichkeit kann gravierende Folgen haben. Die Sprache wird dabei zur Waffe und das Internet ist das Trägersystem. Fatal an dieser Art der Manipulation ist dass selbst eine temporäre Darstellung von Botschaften schon eine Wirkung haben kann.
Wo ermittelt wird da fallen manchmal digitale Späne. Das trifft auch auf den digitalen Teil der Nachforschungen zu. Leider trifft dort die Forensik auf die Informationssicherheit. Grundaufgabe der Informationssicherheit ist das Verhindern von Angriffen dem Abgreifen von Daten und der Kompromittierung von Systemen. Organisiertes Verbrechen oder die Angriffe von Nationen halten sich aber nicht an Gesetze. Oft diskutiert wird daher in diesem Zusammenhang das sogenannte »hack back« oder »Zurückhacken« bei Angriffen. Dabei wird aktiv auf einen Angriff ein Gegenangriff auf die echten oder vermeintlichen Täter:innen ausgeführt. Die Kontroverse dabei ist ob man tatsächlich die Richtigen erwischt oder nur Passanten bzw. ahnungslose Stellvertreter:innen die zufällig an der Attacke beteiligt sind. Ein weiterer Punkt ist der Verlust der Vertrauenswürdigkeit von Online-Plattformen und digitaler Infrastruktur wenn Hintertüren zum Zugriff auf Daten und digitalen Aktivitäten eingeführt werden. Hauptargument für die Hintertüren ist der Schutz von Daten durch Verschlüsselung. Sicherheitsgurte mit Sollbruchstellen sind aber keine mehr. Besagte Hintertüren können von Ermittler:innen und Verbrecher:innen gleich benutzt werden. Verlierer:innen sind wir dabei alle.
Aufgabe der Informationssicherheit ist der Schutz digitaler Daten und Infrastrukturen. Die dazu notwendigen Hilfsmittel sind Barrieren die die digitalen Güter vor unbefugtem Zugriff schützen. Darunter fällt die sichere Verschlüsselung der Schutz des Transports und des Aufbewahrungsorts sowie beschränkter Zugriff auf Daten und Systeme. Die Qualität des Schutzes hängt von den zur Verfügung stehenden Mitteln ab. Zugriff auf IT Systeme oder Daten durch Dritte kann nur mit einer Hintertür oder den dafür vorgesehenen Zugangsberechtigungen. Möchte man sich vor Zugriff durch Dritte schützen so bleiben für Ermittler:innen und Angreifer:innen nur Schwachstellen oder Nachschlüssel. Damit ist dann die Umsetzung von Informationssicherheit nicht mehr möglich. Die Technologie wertet die Zugriffe nicht ethisch. Ein Zugriff durch Dritte bleib ein Ein- oder Angriff. Der Kontext entscheidet. IT Spezialist:innen können bei Anzeichen von Zugriffen kaum den Kontext feststellen bevor Daten kopiert werden. Rein technisch gibt es auch keinen guten oder bösen Zugriff. Der Zugriff auf Daten bleibt wertneutral. Jegliche Schwächung der Sicherheitsmaßnahmen schwächen die Fähigkeiten der Verteidiger:innen.
Katharina Müller ist in Jubelstimmung. Sie und ihre Kolleg:innen haben gerade einen ganz großen Fisch an Land gezogen. Einer der Hintermänner einer groß angelegten Schadsoftware-Kampagne gegen das Innenministerium sitzt nebenan im Verhörzimmer. Zu ihrer eigenen Verblüffung ist er geständig. Besonders interessant ist mit wem er es sonst noch so zu tun hatte und wer mit in der Sache drinsteckt.
Katharina geht ihre Notizen noch einmal akribisch durch. Ein Name taucht auch hier immer wieder auf. Zur selben Zeit am selben Ort … Leon Dragic. Die GPS-Daten seines Telefons sprechen Bände. Vier von sieben Malen war er im selben Café einmal auf einer Demo vor der Tür. Sie ist sich mittlerweile sicher dass Leon einer dieser Typen ist die sich ihrer selbst zu sicher sind. Sie hat ihn auf Fotos von zwei Demonstrationen gefunden. Reißt darauf ganz schön das Maul auf.
Katharina schickt den Haftbefehl an die Kolleg:innen die Leon herbringen werden.
Wir hoffen wir konnten deutlich machen dass es einen ganz zentralen Aspekt bei Onlineverbrechen gibt: Vertrauen. Vertrauen ist ein seit Langem gelerntes Verhalten gegenüber anderen Menschen – seit den Mammuts. Mit all der Technologie die heute um uns und zwischen uns ist liegt das Vertrauen – leider – viel zu oft an der falschen Stelle.
Ende. (Vorerst.)
DeepSec Blog
Dann haben die halt meine Daten. Na und?! – Einsteiger:innen-Buch in digitale Selbstverteidigung von Klaudia
Murderboard-Talk von René und Klaudia bei der #pw20
00 – Prequel
01 – Kapitel 01: Spuren
02 – Kapitel 02: Ermittlungen
03 – Kapitel 03: Serienhacker
04 – Kapitel 04: Staatliches Hacken
Erhebt man Daten zu einem wertvollen Gut wird es automatisch gehandelt gehortet gestohlen und gefälscht. Digitale Abläufe lassen sich sowohl legal als auch illegal nutzen genau wie die Wirtschaft in der analogen Welt. Es geht allerdings beim Thema Cybercrime um viel mehr als nur die Daten selbst. Konten mit bestimmten Berechtigungen stellen auch einen Wert dar weil sie als Multiplikator fungieren. Ein Beispiel ist ein einfaches E-Mail Konto mit hinterlegten Kontakten (Adressbuch oder auch die Kontaktdaten in den vorhandenen E-Mails). Damit kommen gleich mehrere Eigenschaften zusammen: Identität Vertrauen und ein Archiv von Nachrichten. Das Archiv kann man direkt nach wertvollen Daten durchsuchen. Die Identität kann man mit Hilfe des Vertrauens der Kontakte für Betrug verwenden um weitere Zugänge zu mehr Konten und Daten zu bekommen.
Die Motivation ist unterm Strich immer etwas wie ein Vorteil oder Gewinn. Daten die sich direkt verkaufen lassen haben einen unmittelbaren Nutzen.
Öfter werden Daten in mehreren Schritten besorgt.
Die Organisation bei digitalem Verbrechen folgt analogen Vorbildern. Es gibt Dienstleister für alle Rollen und Stationen die notwendig sind. Man findet alles was man auch in einem gut aufgestellten Unternehmen finden würde. Es gibt Techniker:innen Marketing einen Helpdesk für die Opfer (im Falle von Erpressungssoftware – ja, tatsächlich!) Notare Händler Sicherheitsexpert:innen Bankenwesen und was man sonst noch in der Wirtschaft benötigt. Diese Struktur impliziert die Vorgehensweise und die Vorbereitung von Operationen. So etwas wie dramaturgisch aufbereitete Szenen wo binnen weniger Minuten hektischer Tastaturanschläge ganze IT Anlagen durchlöchert werden gibt es nur im Fernsehen oder in erdachten Büchern. Die Realität ist viel einfacher und vor allem sehr routiniert.
Die Schattenwelt ist voller Dienstleister die ihre jeweilige Expertise anbieten. Damit ergibt sich ein getreues Abbild der legalen Wirtschaft. Die Möglichkeiten für Geschäfte ergeben sich aus den Kooperationen. Betrugskampagnen erheben über E-Mail-Aussendungen Daten von Opfern. Diese Daten werden zu Datenbanken zusammengefasst. Diese gehen an Raffinerien welche die Rohdaten durch Überprüfung und Klassifizierung veredeln. Man muss übrigens nicht einmal einen Link in einer E-Mail klicken damit die eigene E-Mail-Adresse dem Konvolut einverleibt wird. E-Mails enthalten häufig »Tracking-Pixel« und es reicht die E-Mail zu öffnen (oder in der Vorschau anzusehen) um das Tracking zu triggern und an den Absender zu melden dass diese E-Mail geöffnet wurde. Allein durch das Ansehen der E-Mail bestätigt man also dass es eine echte und aktive E-Mail-Adresse ist die weiterverkauft werden kann. Damit steigert sich der Wert der einzelnen Datensätze. Die so aufbereitete Ware geht dann an Händler weiter die auf Marktplätzen die Produkte anbieten. Dort findet man neben den Handelstreibenden auch Käufer Notare und Bezahldienstleister (bis hin zu Banken und Geldwäschern) die für eine sichere Abwicklung der Transaktionen sorgen. Eine Krähe hackt der anderen vielleicht kein Auge aus aber man geht doch lieber auf Nummer sicher. Immerhin kennt man sich wahrscheinlich nicht.
Oder man kennt sich vielleicht doch. Die üblichen Verdächtigen eben. So wie die 30 bis 80 Leute auf der Beobachtungsliste von Katharina Müller. Sie surft tagaus tagein auf den üblichen Seiten hat die Angebote im Blick genauso die Anbietenden. Nicknames ändern sich immer wieder es kommen auch ständig Leute dazu oder fallen raus. Aber der »harte Kern« ist immer da unter irgendwelchen Namen. Für weite Teile ihres Jobs muss sie nicht einmal den Tor-Browser starten das meiste passiert im ganz normalen Internet. Zwischen den Neuzugängen ist seit letztem Monat ein oder eine »ldra002«. Scheint recht aktiv zu sein. Sie schreibt den Namen auf ihre Liste.
DeepSec Blog
Dann haben die halt meine Daten. Na und?! – Einsteiger:innen-Buch in digitale Selbstverteidigung von Klaudia
Murderboard-Talk von René und Klaudia bei der #pw20
00 – Prequel
01 – Kapitel 01: Spuren
02 – Kapitel 02: Ermittlungen
03 – Kapitel 03: Serienhacker
04 – Kapitel 04: Staatliches Hacken
Elevate data to a valuable commodity and it gets automatically traded, hoarded, stolen and counterfeited. We can use digital processes both legally and illegally, just like the economy in the physical world. However, cyber crime is about much more than data. Accounts with certain privileges also represent value because they act as a multiplier. For example, a simple e-mail account with stored contacts (address book or even the contact data in existing e-mails). This has several properties at once: Identity, trust and an archive of messages. The archive can be searched directly for valuable data. The identity can be used for fraud with the help of the trust of the contacts to get further access to more accounts and data.
Motivation is—on balance—always something like a benefit or profit. Data sold directly has an immediate benefit.
More often, data is obtained in several steps.
The organization in digital crime follows analog models. There are service providers for all roles and stations that are necessary. You will find everything that you would find in a well-established company. There are technicians, marketing, a helpdesk for victims (with extortion software—yes, indeed!), notaries, traders, security experts, banking and whatever else they need in business. This structure implies the procedure and preparation of operations. Something like dramaturgically prepared scenes, where within a few minutes of hectic keyboard strokes entire IT systems are riddled with holes, exists only on television or in imaginary books. Reality is much simpler and very routine.
The shadow world is full of service providers offering their respective expertise. This results in an accurate reflection of the legal economy. Opportunities for business arise from the collaborations. Fraud campaigns collect data from victims via email sends. This data is compiled into databases. These go to refiners, who refine the raw data through verification and classification. By the way, you don’t even have to click a link in an email for your email address to be added to the convolute. Emails often contain „tracking pixels“ and it is enough to open (or preview) the email to trigger tracking and report to the sender that this email has been opened. So, just by viewing the email, one confirms it is a real and active email address that can be resold. This increases the value of the individual records. The goods prepared in this way are then passed on to traders who offer the products on marketplaces. There, besides the traders and buyers, there are notaries and payment service providers (up to and including banks and money launderers), who ensure that the transactions are processed securely. One crow may not peck out another’s eye, but it’s better to be safe than sorry. After all, you probably don’t know each other.
Or maybe they do know each other. The usual suspects. Like the 30 to 80 people on Catherine Miller’s watch list. She surfs the usual sites day in, day out, monitoring the offers and the people offering them. Nicknames are always changing, and people are constantly joining or dropping out. But the „hard core“ is always there, under some name or another. For most of her job, she doesn’t even have to start the Tor browser, most of it happens on the regular Internet. Among the newcomers, there is an “ldra002” since last month. Seems to be quite active. She puts the name on her list.
DeepSec Blog
Easy Ways to Be More Private on the Internet – Klaudia’s book on digital self-defense for beginners
Murderboard-Talk by René and Klaudia at #pw20
00 – Prequel
01 – Chapter 01: Traces
02 – Chapter 02: Investigations
03 – Chapter 03: Serial Hackers
04 – Chapter 04: State Hacking
Wenn junge Menschen die Welt entdecken dann freuen sie sich oft über Post. Wer hat es denn nicht gern wenn andere an einen denken? Sobald die Liebesbriefe vom Schwarm die Metamorphose in herzlose Schreiben mit Fenster hinter sich gebracht haben erkennen wir: Geld regiert deren Inhalt genau wie in dieser Geschichte.
Leon hat eine Angewohnheit. Beim Gang vom Briefkasten zurück fühlt er gerne die Bedeutung des Inhalts von Briefen mit den Fingern. Im konkreten Fall ist es das Schreiben der Kreditkartenabrechnung. Und es ist auf mehrere gehaltvolle Millimeter angewachsen. Leon hofft auf eine Änderung der Geschäftsbedingungen. Nach dem Öffnen stellt sich allerdings heraus dass es leider eine Aufstellung von Zahlungen ist. Er kann sich kaum an die einzelnen Posten erinnern. Es sind einfach zu viele – und die meisten davon sind nicht von ihm! In der Zahlenkolonne sind verschiedene Beträge angetreten und marschierten im Gleichschritt zur Gesamtsumme. Weder die Posten noch die Firmen die er angeblich bezahlt hat sagen ihm etwas. Langsam kehrt der Verstand zurück. Leon durchsucht seine Geldbörse aber alle Karten sind noch da. Dann greift er zum Telefon und lässt die Kreditkarte sperren.
Die nächsten Tage ist Leon ziemlich beschäftigt damit eine neue Kreditkarte zu beantragen und Zahlungen zu stornieren. Neben dem Studium und seinem Teilzeitjob frisst das verdammt viel Zeit und Nerven. Vor allem Letzteres. Überhaupt zwei Ressourcen die bei uns allen endlich sind und die in Leons Fall an anderer Stelle besser eingesetzt gewesen wären.
Was ist ihm passiert?
Die Beantwortung dieser Frage beginnt bei der Verwendung der Kreditkarte. In der analogen Welt überlegt man wann man die Karte wo und zu welchem Zweck benutzt hat. Oft ist das überschaubar und an geographische Orte gebunden. Digital wird das schwieriger weil Online-Händler oft die Möglichkeit bieten Kreditkarten in Nutzer:innen-Konten zu hinterlegen. Dadurch ergibt sich automatisch eine Verknüpfung an die Zugangsdaten dieser Konten. Ist man eingeloggt kann man von dieser Plattform aus Zahlungen tätigen. Meist wird für Online-Accounts ein Login und ein Passwort verlangt. Unter Umständen wird eine E-Mail Adresse als Login verwendet. Im Unterschied zur physischen Kreditkarte muss man nun klären welches Online-Konto für eine Zahlung verantwortlich ist. Wurde das Online-Portal kompromittiert? War das Passwort zu schwach? Oder hat sich jemand Zugang zum E-Mail Konto verschafft?
In Leons Fall sind mehre Möglichkeiten denkbar. Betroffene Konten können Teil eines Datenlecks geworden sein. Mit Pech wissen die Portale die die Daten »verloren« haben noch nichts davon und können ihre User:innen nicht über den Vorfall informieren.
Eine weitere Möglichkeit ist eine Schadsoftware auf den Geräten die verwendet wurden. Findiger Schadcode schaut auf Systemen nach hinterlegten Konten dem Browser-Verlauf in Dokumenten und anderen brauchbaren Daten. Diese werden hinausgeschleust und in den Kommandozentren der Angreifenden analysiert. In der Regel stecken hinter solchen Angriffen ganze Kampagnen die gut vorbereitet und organisiert durchgeführt werden.
Social Media Postings bewegen die Welt – besonders wenn Ex-Präsidenten Kurznachrichten zwitscherten. Man kennt ja die eigenen Timelines. Manche suchen sich vertrauenswürdige Quellen folgen ihnen und haben auf diese Art menschliche Filter für Informationen geschaffen die den täglichen Faktenfluss steuern sollen. Vertrauen formt Netzwerke.
Das Handy klingelt. Leon hebt ab.
»Bist Du jetzt total bescheuert? Wieso postest Du so einen Blödsinn! Ich hoffe Du bist betrunken!« kommt es ihm ohne Begrüßung entgegen. Es folgen mehrere Minuten Verständnislosigkeit die nicht aufgeklärt werden können. Einfach aufgelegt. Nach dem dritten Anruf vervollständigt sich das Bild. Sein Twitter-Konto publizierte laut seinen Freunden Dinge die rassistisch und nicht jugendfrei waren. Er macht sich sofort auf die Suche nach der Ursache stellt aber gleich fest dass sein Login nicht mehr funktioniert.
Dieser Vorfall ist nicht fiktiv und ist schon sehr vielen Personen passiert. Die Vertrauensketten in sozialen Netzwerken sind lohnende Ziele speziell wenn eine Klarnamenpflicht noch zur öffentlichen Identifikation führt. Die Zugangsdaten zu den Konten werden meist durch Diebstahl kompromittiert. Schadsoftware sucht gerne nach aktiven Zugängen um Dritten den Zugang zu gewähren. Leons Beispiel ist noch ein harmloser Fall wenn auch sehr peinlich für ihn als Betroffenen. Es geht ja nicht nur um die öffentlichen Nachrichten sondern auch um die direkte Kommunikation (eben die sogenannten »direct messages« bei Twitter, auf Instagram, Mastodon oder artverwandte Botschaften). Woher soll Leon oder auch ich wissen ob jemand mitliest?
Viele Anbieter melden wenn der letzte Login nicht plausibel ist. Manche melden immer wann man sich mit welchem Gerät von wo (geografisch oder netzwerktechnisch) eingeloggt hat. Das hilft nur wenn man diese Informationen auch registriert und Unregelmäßigkeiten auffallen. Empfohlen wird die sogenannte Zwei-Faktor-Authentisierung (oder auch two factor authentication, 2FA). Bei dieser wird der Login von einem zweiten Kanal begleitet der einen Code zur Überprüfung liefert. Das kann eine klassische SMS sein. Es gibt aber auch Codegeneratoren die zeitgesteuert Zahlen liefern die sich alle Minute ändern. Die Generatoren werden mit einem Wert gestartet der im jeweiligen Online-Konto hinterlegt ist. Stiehlt jemand die Zugangsdaten so fehlt (hoffentlich) der zweite Faktor und die andere Person kann sich dennoch nicht einloggen obwohl sie Login und Passwort erbeuten konnte.
Leon hatte keine 2FA für seinen Twitter-Account. Bis zu diesem Tag hatte er gedacht das wäre nur was für Datenschutz-Fanatiker und Leute die etwas zu verbergen hätten.
Meist dreht sich alles um Geld. In der digitalen Welt kommen jedoch noch andere Aspekte hinzu. Die Waren und geldwerte Güter sind hier etwas vielfältiger. Gültige Bankkonten Kreditkarten Zugänge zu E-Mail-Konten oder ähnlichen Ressourcen wie Social Media Präsenzen stellen indirekt Werte da die gestohlen und gehandelt werden. Das Bild auf solche Vorfälle verzerrt sich dabei. Wir als Menschen denken ja gerne »Wieso sind die hinter mir her?«. Oder auch »Ich bin doch viel zu uninteressant für die.« Darum geht es aber nicht immer. Man wird auch zum Ziel wenn man Ressourcen hat die interessant sind. Echte E-Mail-Absender sind natürlich beliebt weil sie die Glaubwürdigkeit der gefälschten E-Mail erhöhen. Selbst Zugänge zu Webseiten sind eine gefragte Ware weil die Kriminellen dort oder auf den Webservern hinter der Webseite Daten für ihre Aktionen ablegen können. Einem Bekannten ist es unlängst passiert dass sein Blog zum Versenden einer Schadsoftware namens Emotet verwendet wurde. Die Datei mit dem Schadcode lag auf seinem Server und aus aller Welt wurde die Datei über Phishing-Mails abgerufen und bei den Menschen die den Link in der Mail geklickt hatten auf den Rechner geladen. Alles wegen eines nicht aktualisierten Plugins im WordPress mit dem er seinen Blog betreibt.
Die Automatisierung multipliziert die Wertschöpfung. So manche Betrugsmail dürfte schon für Amüsement oder Verwunderung geführt haben. Wenn aber bei Millionen von E-Mails nur Bruchteile eines Prozents auf die Masche hereinfallen dann sieht die Bilanz gar nicht schlecht aus. All die Downloads der Emotet-Datei sprechen dafür. Dasselbe gilt für die anderen Bereiche. Natürlich lassen sich gestohlene Kreditkarten sperren und Passwörter von Konten ändern. Dazu muss der Diebstahl allerdings erst einmal auffallen. In der digitalen Welt sind Daten nicht einfach »weg« oder »verschwunden« sondern werden kopiert d.h. man bemerkt den unzulässigen Zugriff nicht sofort. Es fällt frühestens dann auf wenn die kopierten Zugangsdaten aktiv verwendet werden. Und das kann eine unbekannte Anzahl anderer sein die die Daten von irgendwo her haben und sie nun verwenden.
»Follow the money« ist daher nach wie vor gültig. Cui bono? Das Konzept ist nur generell auf Werte ausgeweitet.
Neben Geld und Rache gibt es noch weitere Beweggründe für digitalisierte Kriminelle. Ein Faktor der schwer zu akzeptieren ist sind schlicht und einfach Ressourcen. Damit ist auch Rechenleistung gemeint. Alles was Zugang zum Internet hat und Code ausführen kann ist ein gutes Ziel. Es wird noch interessanter wenn es schlecht gesichert oder kaum überwacht wird. Nahezu alles was sich »IoT« (»Internet of Things«, vernetzte Dinge wie Zahnbürsten, Kameras, Kaffeemaschinen, Heizungsthermostate oder Personenwaagen etc.) nennt fällt in diese Kategorie. Ein anderes gutes Beispiel ist ein alter Computer (oder ein altes Smartphone). Es darf auch ein Server sein egal ob in der Cloud oder selbst betrieben. Alt ist dabei relativ. Es reicht schon dass er mit Software ohne aktuelle Sicherheitsupdates betrieben wird da kann das Blech selbst noch so neu sein (IoT). Das System hat Speicherplatz kann Programme ausführen und darf das Internet verwenden. Damit ist es interessant weil es als Sprungbrett für weitere Aktionen dienen kann.
Diese Vorgehensweise erlaubt es den Ursprung von Attacken zu verschleiern. Der Ursprung ist selten die direkte Quelle bei Vorfällen. Für Betroffene ist es natürlich kein Trost Beifang zu sein.
Für Ermittlungen ist es wichtig Beziehungen herzustellen. Ist ein Opfer das eigentliche Ziel Mittel zum Zweck oder eine absichtliche Täuschung? Gelegentlich werden auch absichtlich falsche Spuren gelegt um die Zuordnung der Täter:innen in eine bestimmte Richtung zu lenken.
Katharina Müller ist Beamtin bei der Polizei. Cybersecurity die Leute mit den flinken Internetanschlüssen und dem vorinstallierten Tor-Browser für die Ermittlungen im sogenannten Darknet. Seit einiger Zeit kommt ihr ein Name immer wieder unter: Leon Dragic. Noch ist sich Katharina nicht sicher ob er Opfer oder nicht doch eher Täter ist. Wobei schon eine Menge Chuzpe dabei wäre wenn er die ganzen Server von denen aus Malware ins Netz verbreitet wird auf seinen bürgerlichen Namen angemietet hätte. Andererseits wäre es auch nicht das erste Mal dass ein Typ glaubt unverwundbar oder unauffindbar zu sein. Aber bisher hat sie sie alle gekriegt. Bei manchen hat es nur länger gedauert. Und die Liste mit Notizen zu Leon wird langsam aber sicher länger.
Ein roter Faden bei der Motivation sind die Vorteile. Welchen Nutzen bringt ein kompromittiertes System oder ein Konto? Das ist nicht dieselbe Frage wie »cui bono?«. Die Frage wem nützt ein Angriff wird vielmehr zur Verschleierung eingesetzt. Welchen Nutzen hat ein System an sich? Was kann es sehen sprich worauf hat es Zugriff? Im Falle von IoT-Geräten kann eine Kaffeemaschine möglicherweise eine Menge andere Geräte im selben Netzwerk sehen. Oder was an Daten über dieses Netzwerk geschickt wird. Sie sieht vielleicht auch Mobiltelefone die möglicherweise nicht im selben WLAN eingeloggt sind aber über die Bluetooth-Schnittstelle mit der Kaffeemaschine kommunizieren. Und je nachdem was die Marketingagentur die die App zur Kaffeemaschine gebaut hat noch alles für »Marketingzwecke« braucht sieht sie auch das Telefonbuch auf so einem Mobiltelefon die Fotos auf einer SD-Karte gespeicherte Daten anderer Apps und vielleicht noch die Daten aus den Sensoren des Geräts wie Beschleunigungs- oder Lagesensor.
Der Gedanke an Sichtbarkeit und Zugriffe führt unweigerlich zu Vertrauensketten die selbst ein Ziel darstellen. Freunde von Freunden sind immer interessant weil sie einander vertrauen. Diese Methode wird für E-Mail- oder auch SMS-Betrug in allen Formen und Farben benutzt. Plausible Absender waschen die Nachricht rein. Der Schaden ist nur schlimmer wenn Angreifer:innen vollen Zugriff auf andere Konten haben.
DeepSec Blog
Dann haben die halt meine Daten. Na und?! – Einsteiger:innen-Buch in digitale Selbstverteidigung von Klaudia
Murderboard-Talk von René und Klaudia bei der #pw20
00 – Prequel
01 – Kapitel 01: Spuren
02 – Kapitel 02: Ermittlungen
03 – Kapitel 03: Serienhacker
04 – Kapitel 04: Staatliches Hacken
