Ein in Kanada ansässiger Cybersecurity-Experte wurde letzte Woche in den Vereinigten Staaten festgenommen. Der Verdacht lautet, dass er an den Aktivitäten von ShinyHunters beteiligt war, darunter der Einbruch in die Systeme des FBI. Laut SecurityWeek gab FBI-Direktor Kash Patel die Festnahme an einem Freitag bekannt. Die Royal Canadian Mounted Police teilte CBS News mit, dass ihr bekannt sei, dass ein Kanadier im Zusammenhang mit ShinyHunters in den USA festgenommen wurde.
Wer festgenommen wurde und was ihm vorgeworfen wird
Die Behörden haben den Verdächtigen nicht offiziell benannt. Die New York Times und der Blogger Brian Krebs berichteten, dass es sich um Edward Dubrovsky handelt, einen Kanadier, der auf die Reaktion auf Ransomware-Angriffe spezialisiert ist. Gerichtsunterlagen, wie sie SecurityWeek beschreibt, schreiben den Nachnamen dagegen als „Dobrovsky“.
Laut diesem Bericht wurde er vom FBI festgenommen, nachdem er zu einer Konferenz nach Philadelphia gereist war. Er scheint mit CyberSteward in Verbindung zu stehen, einer Firma aus Toronto, die Verhandlungsdienste bei Ransomware-Fällen anbietet. Sein LinkedIn-Profil soll Führungspositionen bei zwei nordamerikanischen Cybersecurity-Unternehmen aufführen, die nicht namentlich genannt werden. Außerdem soll er der Autor von Cyber Extortion: Strategic Response sein.
Aus den Gerichtsunterlagen gehen zwei Anklagepunkte hervor:
- Verschwörung zur Drohung, die Vertraulichkeit von Informationen zu beeinträchtigen, mit der Absicht, Geld zu erpressen;
- Behinderung des Handels durch Drohungen.
Der Fall soll an den Bezirk Eastern District of Texas übergeben worden sein, wo die ShinyHunters-Ermittlungen des FBI laufen sollen. Quellen erzählten Krebs, dass auch Führungskräfte anderer Ransomware-Verhandlungsfirmen in dem Verfahren angeklagt werden könnten. Das bleibt eine unbestätigte Behauptung.
Patel bezeichnete dies als die jüngste Festnahme „innerhalb weniger Tage“ in diesem Netzwerk. Das FBI arbeite daran, die Gruppe zu zerschlagen und neuen Hinweisen nachzugehen. Gemeinsam mit Partnern wolle man „das, was von ShinyHunters übrig ist“, und ihre Komplizen stören, „egal wo sie operieren“.
Der Einbruch beim FBI
ShinyHunters, eine Erpressergruppe, behauptete, sie habe auf die Jobwebsite des FBI und weitere Systeme zugreifen können. Sie gab an, Informationen über nahezu alle Agenten und Bewerber erbeutet zu haben. Dabei handelt es sich um Behauptungen der Gruppe. Den Angriff stellte sie als Vergeltung für einen FBI-Bericht dar, der früher im Jahr veröffentlicht wurde und Organisationen vor Aktivitäten von ShinyHunters warnte.
Das FBI nannte dagegen eine andere Ursache für den Zugang. Laut SecurityWeek führte es den Einbruch auf das Versäumnis eines Auftragnehmers zurück, die anfällige Oracle-PeopleSoft-Software zu patchen. Der Bericht nennt weder eine CVE-Kennung noch eine betroffene Version oder einen Patch.
Die Quelle beschreibt die Rolle des Verdächtigen bei diesem Einbruch nur als vermutet. Sie sagt nicht, welchen Anteil er angeblich hatte.
Dritte Festnahme in wenigen Wochen
SecurityWeek zählt dies als dritte Festnahme in den letzten Wochen, die mit ShinyHunters zusammenhängt:
- 15. September: Ein mutmaßliches Schlüsselmitglied wurde in den Niederlanden festgenommen. Frühere Berichterstattung beleuchtete die niederländische Seite der Ermittlungen.
- 28. September: Ein weiteres mutmaßliches Schlüsselmitglied soll in Jordanien festgenommen worden sein und soll mit dem FBI kooperieren.
Status der Gruppe
Ende September erklärte ShinyHunters Berichten zufolge, dass ihre Operationen und ihre Infrastruktur nicht betroffen seien, und forderte Opfer zur Zahlung auf. Die Erklärungen, die die Gruppe an das FBI und an Opfer gerichtet hatte, wurden später von ihrer Website im Tor-Netzwerk entfernt. Zum Zeitpunkt der Berichterstattung durch SecurityWeek war die Seite Berichten zufolge nicht mehr erreichbar.
Organisationen, die Oracle PeopleSoft betreiben oder sich auf Auftragnehmer verlassen, die es betreiben, können aus der Erklärung des FBI eine konkrete Konsequenz ziehen: Sie sollten prüfen, ob das Patchen dieser Systeme auf dem neuesten Stand ist, auch bei externen Dienstleistern.
