IRIS C2: Ein Unternehmen für offensive Exploits mit krimineller Vergangenheit

Einführung

Im Bereich der offensiven Sicherheit ist kürzlich IRIS C2 (@C2IRIS) aufgetaucht, ein Unternehmen, das behauptet, Zero-Day-Schwachstellen und Exploit-Ketten für bis zu 7 Millionen US-Dollar pro Meldung zu erwerben und Hacking-Dienstleistungen (vor allem Telefon-Hacking) für die US-Regierung anzubieten. Hinter der Fassade verbergen sich jedoch Jack Burkman und Jacob Wohl, zwei berüchtigte Namen für Betrug, Desinformationskampagnen und Verletzungen von Bürgerrechten. Die über die Calvexa Group LLC abgewickelte Operation löst im gesamten Cybersicherheits-Ökosystem ernsthafte Alarmstimmung aus.

Technische Analyse

Die technischen Grundlagen von IRIS C2 sind schwach. Weder Burkman (60) noch Wohl (28) verfügen über glaubwürdige Qualifikationen oder dokumentierte Erfahrung in der Schwachstellenforschung – Wohl selbst gab an, Autodidakt zu sein. Ihr Vorstrafenregister spricht dagegen von Computerbetrug (ein Robocall-System, das auf die Unterdrückung der afroamerikanischen Wahlstimme abzielte, 2020–2025), FCC-Bußgeldern in Höhe von 5,1 Millionen US-Dollar, zivilrechtlichen Strafen von über einer Million Dollar, Finanzbetrug und falschen Anschuldigungen sexuellen Missbrauchs gegen öffentliche Personen.

Die als Federal Contractor registrierte, aber über keine aktiven Regierungsaufträge verfügende Calvexa Group LLC hat ihren rechtlichen Sitz an einer Adresse, die dem Lobbyisten Burkman zugeordnet werden kann. In der Praxis spricht IRIS C2 auf X und LinkedIn aggressiv Forscher an, teilweise sogar auf internationalen Konferenzen, und täuscht nicht existierende öffentliche Aufträge vor. Das völlige Fehlen eines glaubwürdigen technisch-rechtlichen Rahmens lässt befürchten, dass erworbene Exploits für Erpressungen, Desinformationsoperationen oder den Weiterverkauf an nicht autorisierte Stellen genutzt werden könnten – ganz im Einklang mit dem historischen Modus Operandi der beiden Gründer.

Auswirkungen

Der Eintritt von Akteuren mit einer solchen Vergangenheit in den Zero-Day-Markt birgt mehrdimensionale Risiken:

• Direkte Bedrohung für Nutzer und Unternehmen: Kritische Schwachstellen (Browser, Betriebssysteme, mobile Geräte) könnten für wahllose Angriffe verwendet werden.
• Untergrabung des Vertrauens in den legalen Markt: Die Präsenz betrügerischer Zwischenhändler schädigt den Ruf von Bug-Bounty-Programmen und des regulierten Handels und hält Forscher von einer verantwortungsvollen Offenlegung ab.
• Rechtliches Risiko für Forscher: Die Weitergabe von Exploits an Personen mit einer derart stark vorbelasteten Vergangenheit kann als Beihilfe zu illegalen Aktivitäten ausgelegt werden und straf- sowie zivilrechtliche Konsequenzen für den Anbieter selbst nach sich ziehen.

Gegenmaßnahmen

Um sich vor ähnlichen Machenschaften zu schützen, ist eine strenge Due Diligence bei jedem potenziellen Käufer unerlässlich:

• Überprüfen Sie das tatsächliche Bestehen öffentlicher Aufträge (z. B. auf USAspending.gov) und den Ruf der Gründer.
• Überprüfen Sie Vorstrafen, Handelsregistereinträge und Referenzen aus der Cybersicherheitsbranche.
• Im konkreten Fall: Vermeiden Sie jegliche Zusammenarbeit oder Weitergabe von Code an IRIS C2 und die Calvexa Group.

Von diesen Organisationen kontaktierte Forscher sollten:

• Nicht auf die Kommunikation reagieren.
• Den Vorfall unverzüglich den nationalen CERT, den Strafverfolgungsbehörden oder den Verantwortlichen ihrer eigenen Organisation melden.
• Auch die Veranstalter von Konferenzen informieren, auf denen diese Personen möglicherweise versuchen, Kontakte zu knüpfen.

Regierungsbehörden sollten zudem ihre offensive Lieferkette sorgfältig kartieren und nicht akkreditierte Subunternehmer mit kriminellen Profilen ausschließen.

FAQ

1. Hat IRIS C2 wirklich Verträge mit der US-Regierung?
Nein. Obwohl die Calvexa Group LLC als Federal Contractor registriert ist, gibt es keine Belege für aktive öffentliche Aufträge. Die rechtliche Adresse verweist auf Jack Burkman, doch das Unternehmen hat nie operative Verbindungen zu US-Behörden nachgewiesen.

2. Welche konkreten Risiken birgt die Weitergabe eines Exploits an IRIS C2?
Die Gefahr ist dreifach: (a) Die Exploits könnten für Erpressung, Informationsmanipulation oder direkte Angriffe verwendet werden; (b) die Schwachstelle könnte unkontrolliert weiterverkauft werden; (c) der Forscher könnte für strafbare Handlungen, die mit diesem Exploit begangen werden, mitverantwortlich gemacht werden – mit schwerwiegenden rechtlichen Konsequenzen.

3. Woran erkennt man einen verdächtigen Kontaktversuch dieses Unternehmens?
IRIS C2 kontaktiert vorwiegend über X (@C2IRIS), LinkedIn oder die Website irisc2.com, verspricht Belohnungen von bis zu 7 Millionen US-Dollar und tritt forsch auf. Das Fehlen nachweislicher technischer Kompetenz, die Registrierung unter der Calvexa Group und die bekannte kriminelle Vergangenheit der Gründer sind eindeutige Warnsignale. Jede Kommunikation muss mit äußerster Vorsicht behandelt und den Behörden gemeldet werden.