Diejenigen von euch, die schon länger bei Inside Darknet dabei
sind, die kennen das Ganze, was jetzt gleich kommt, macht es
euch gemütlich, lehnt euch zurück und stellt euch einmal
vor, ihr seid gerade am Bauen eines Hauses, vielleicht am
Land, vielleicht in der Stadt, ein Anbau bei eurem Elternhaus,
egal wie, aber ihr baut gerade ein Haus.
Und da habt ihr so eine riesengroße Baustelle, steht
schon zum Teil und jetzt braucht ihr für verschiedenste Sachen
zum Beispiel einen Elektriker und ihr seid schon ewig
befreundet mit diesem Elektriker, also ihr kennt den
richtig gut und ihr vertraut ihm.
Diese Person braucht vielleicht irgendein elektronisches Bauteil
für was auch immer, ist eigentlich komplett irrelevant,
aber das kauft er dann selbst auch noch mal zu.
Und genau so funktioniert auch moderne Softwareentwicklung.
Ihr seid in diesem Fall eine Firma, der Elektriker, einer
eurer Entwickler oder Entwicklerinnen und diese
kleinen Einzelteile an Libraries, Frameworks, Tools von
anderen Leuten, Package Management Scanner, die
überprüfen, ob der Code sicher ist, ein Bild System, das den
Code komplettiert und signiert und in moderner Entwicklung
macht man das nicht alles selbst, sondern basiert auf
anderen Lösungen. Eine supply Chain wenn man jetzt
als externer Angreifer ein Unternehmen hacken will, steht
dann meistens eine Firewall im Weg, vielleicht ein Security
Operation Center, also jemand, der sich die Security incidence
ansieht. Intrusion Detection, Endpoint
Detection, Alerts. All diese Lösungen sind super
wichtig. Aber wenn wir jetzt in unserem
Beispiel der Elektriker ganz ohne es zu merken, einen
bösartigen elektrischen Baustein installiert, dann ist das jetzt
nicht der Eindringling, sondern der Lieferant.
Wir haben vor 2 Episoden schon ein bisschen über Supply Chains
gesprochen, über Canister Scroll und einer Gruppe, die dahinter
war, Exploiterps. Das war Folge 114.
Falls ihr die noch nicht angehört habt, macht das
vielleicht jetzt noch schnell, denn die heutige Folge basiert
so ein bisschen auf den Infos, die wir da herausgefunden haben.
Wir haben da darüber gesprochen, dass Exploiters nur eine
Teilgruppe, ein kleiner Teil dieser ganz großen Kampagne war
und dass der Hauptakteur Team PCP heißt.
Und ich bin super excited, denn heute haben wir richtig tiefe
Insights in einem supergroßen Interview mit einem
Administrator von Team PCP, also der Hauptfigur hinter der ganzen
Operation, die in den letzten Monaten mehr als 1000 Firmen
getroffen hat. Heute sprechen wir mit einem
Leader von Team PCP. Wahre Geschichten aus dem
verborgenen Teil des Darkschnitts Ich bin Rent und
das ist Inside darkschnitts. Hey, ich habe heute richtig
besondere News, denn wir haben auf Spotify die 5000 Follower
gebrochen. Das ist richtig viel 5000 von
euch, wo ein großer Teil jeder Woche die Folgen von Insider
Darknet anhört. Es ist schon etwas super
Besonderes für mich, ich bin super stolz was aus diesem
Projekt wird und ich bin euch richtig dankbar, dass ihr mit
dabei seid. In The Darknet ist jetzt größer
als das so manche Dorf am Land. Richtig cool und es ist noch
etwas super Spannendes, diese und letzte Woche eigentlich
schon passiert. Erstens bin ich in das Finale
von der Acsc der Austrian Cyber Security Challenge eingeladen
worden, da gab es auch wieder einen Qualifier und die Top 20
aus meiner Kategorie aus der Open, also aus der Kategorie, wo
keine studierenden Personen und Schülerinnen sind.
Sind dürfen zu einer großen Messe fahren und dann dort das
Finale für diese österreichische Meisterschaft austragen.
Und ich habe diese Woche erfahren, dass ich den digital
Skills Cup 2026 in der Kategorie AI pro als erster bester
Österreicher abgeschlossen habe, wodurch ich da jetzt beim Word
Final mitmachen darf gegen andere Teilnehmerinnen überall
auf der Welt, die in ihrem eigenen Land den ersten Platz
belegt haben, also super coole Hacking Turnier.
Folge bei mir in den letzten 2 Wochen.
Die Neuigkeiten. Aus der Cyberbone.
Sind zum Ziel eines großangelegten Cyberangriffs
geworden. Noch.
Nie gesehen. Diese Woche hat es die
Bildungsplattform Canvas erwischt.
Canvas ist ein weltweit führendes Lehrmanagementsystem
LMS. Vielleicht kennt ihr es sogar.
Es ist super weit verbreitet auf sehr vielen Schulen und Unis.
Verwenden Sie Canners für vorlesungsunterlagen Aufgaben,
Kommunikation zwischen Studierenden und Lehrenden das
Unternehmen der Imper heißt Infrastructure am 3.
Mai diese Woche hat die Hacker Gruppe Shiny Hunters.
Die bei Inside Darknet ja kein unbekannter Name sind und wir
auch schon ein Interview mit ihnen hatten.
Die Firma Infrastructure kompromittiert nach ersten
Einschätzungen geht man davon aus, dass über 275000000
Datensätze gestohlen worden sind.
Alleine an der University of Pennsylvania sollen 306000
Accounts betroffen sein. Die Gruppe spricht außerdem
davon, Zugriff auf Milliarden privater Nachrichten zwischen
Studierenden, Lehrenden und Mitarbeitenden zu haben,
inklusive Telefonnummern und Privatadressen.
Die Firma Infrastructure hat diesen Angriff mittlerweile
bestätigt und gibt an, den Vorfall eingedämmt zu haben.
Shiny Hunters hat aber eine Deadline bis zum 8.
Mai gesetzt, das ist für mich morgen für euch, gestern muss
sie drohen, die Daten bis dahin zu veröffentlichen, es kann also
sehr gut sein, wenn ihr diese Folge hört, dass diese Daten
bereits veröffentlicht und geleakt worden sind, was schon
relativ wild und sehr sehr groß wäre.
Kurzes Update. Jetzt mache ich doch noch ein.
Es ist Donnerstagabend und die Mainstream Medien beginnen
gerade darüber zu berichten, dass die Plattform Canvas jetzt
auf verschiedensten Unis weltweit nicht mehr funktioniert
und sogar schon Prüfungen abgesagt worden sind.
Da kommt jetzt eine riesengroße Nachricht, die wird auch auf dem
Instagram Post natürlich zu sehen sein, wo sie sagen, dass
sie die Daten von allen Unis, die betroffen sind bis zum 12
Mai veröffentlichen, weil sie sich nicht mit der Hacker Gruppe
einigen können. Ich habe auch noch die.
Ganz kurz geschaut, welche Unis in Österreich betroffen sind.
Ich bin jetzt nicht ewig tief reingegangen, aber gesehen, dass
die Wu Wien und die ITU Austria beide betroffen sind und eben
der Zeitpunkt hat sich auf den 12.
Nach hinten verschoben. Betroffen sind Studierende und
deren persönliche E Mails soweit wir wissen.
Jetzt machen wir keine Supply Chain, sondern eine Update
chain, denn jetzt kommt Update Nummer 3.
Es ist gerade Freitag Vormittag, Shiny Hunters hat bestätigt,
dass sie die Daten durch Vishing, also Voice Fishing,
gestohlen haben. Also wieder mal ein weiterer
Angriff, der nur wegen Social Engineering funktioniert hat.
Wie der 2023 verstorbene Kevin Midnick, ein ehemaliger Security
Consultant und Hacker der 1995, verhaftet worden ist und kein
Telefon besitzen durfte, als er aus dem Gefängnis entlassen
worden ist. Bereits sagte Millions of
Firewalls and Encryption means nothing of humans are the
weekest link. Und seit Jahren predigt das so
gut wie jeder, dass der Mensch eine riesengroße Angriffsfläche
ist. Und auch hier war es wieder mal
Voice Fishing. Ich habe es im Intro schon ein
bisschen angeteasert, wir sprechen heute mit dem Leader
von Team PCP. Also dem Hauptakteur hinter der
Canister Sprawl Supply Chain. Einige Researcher innen in der
Bubble bezeichnen ihn auch den größten Hack des Jahres, es sind
über 500000 Maschinen mindestens betroffen und über 1000 Software
AS AS Service Dienstleister. Auch die Europäische Kommission
wurde Opfer dieser Supply Chain Attacke.
Ja, 300 Gigabyte an Daten wurden der EU Kommission entwendet, das
heißt die wurden gehackt, man weiß auch noch gar nicht wie
groß dieses komplette Ausmaß ist, denn Team PCP ist immer
noch dabei mehr und mehr Firmen hintereinander zu
kompromittieren und diese Supply Chain immer größer wachsen zu
lassen. Ich habe mir heute vorgenommen,
jetzt hier nicht ganz so viel zu dieser Supply Chain zu erklären.
Da beginnen alle Punkte ganz chronologisch im Interview
selbst durch und ich bin super excited, weil ich heute dieses
Interview mit dem Leader von Team PCP, dem Kopf hinter dieser
riesengroßen Operation, im Insider Arkanat Podcast
präsentieren zu dürfen. Das Interview wurde wieder mal
mit einer KI ins Deutsche übersetzt und eine zweite KI
wurde verwendet, um Team PCP eine Stimme zu geben.
Wichtig wie immer das Interview ist von mir mit Team PCP geführt
worden, das heißt ich beziehe mich nicht auf irgendwelche
externen Quellen, weil ich das vor 2 Wochen gefragt worden bin
nein, die Interviews sind von mir mit Team PCP und die
Original Antworten wurden nur übersetzt und nicht inhaltlich
verändert. Und sage ich, Hi, danke, dass du
dir Zeit nimmst mit Inside Darkschnitt mit uns zu sprechen.
Für alle, die vielleicht die vorherige Folge mit Exploiters
noch nicht gehört haben oder nicht ganz so tief in der
Materie sind, kannst du vielleicht erklären, wer Team
PCP ist und was genau macht ihr? Wir existieren als loses Team
von Malware, Entwicklern und Cloud Native Threadactors.
Wenn man das so nennen will. Unser hauptsächliches Ziel war
anfangs, so viele Creidentials und Zugänge wie möglich zu
sammeln. Mit der Verwendung von Malware.
Die erste Kampagne, die öffentlich mit diesem Alias
verknüpft wurde, war PCP Cat, was aber definitiv nicht unsere
beste oder erfolgreichste Arbeit war, noch vor diesen Supply
Chain attacks. PCP Cat wurde schnell gebaut, um
eine Lücke in React to Shell auszunutzen, bevor sie gepatcht
wurde. Pcb CAD war eine Kampagne im
Dezember 2025, wo 59000 Server in 48 Stunden gehackt worden
sind. Jeder in unserer Gruppe schreibt
schon seit Jahren ähnliche Malware, jeder für sich getrennt
voneinander. Ich würde jeden, der Tradecraft
einbringt und bei unseren Operationen mitmacht und sie
voranbringt, als Teil des Teams betrachten.
Es gibt keine strikte Führungsstruktur, aber ich
repräsentiere den Alias nach außen, also werde ich leader
genannt. Diese Struktur ist gut, einzelne
Verhaftungen würden keine Unterbrechungen verursachen und
mein Alias kann einfach weitergegeben werden.
Pcp ist eine Droge, ein Halluzinogen.
Wie habt ihr den Namen Team PCP gewählt, also Team PCP?
Viele hier sind Exsüchtige oder waren früher mal Dealer.
Cybercrime ist für sie so eine Art Therapie auf seltsame Weise
er. Es hält sie clean, lenkt sie von
ihrer Situation ab, lässt sie für eine Weile abschalten, bei
etwas sinnvollem, das sie gut können, auch wenn sie nicht die
Qualifikationen haben, es legal im Berufsleben zu tun.
Wenn man nach einem erfolgreichen Hack die Beute
sieht, gibt das einen enormen Rush, das ist süchtig machend,
das gesagt, niemand hier will irgendjemanden ermutigen, diese
Substanzen tatsächlich zu probieren, es.
Es gab auch ein Paar von uns, die die Arbeit einer anderen
Gruppe namens Team TNT bewundert und von deren Kampagnen gelernt
haben. Der Name ist auch eine Hommage
an sie. Okay damit kommen wir zum März
2026 also dieses Jahr Security Forscherinnen weltweit
bezeichnen knister warm, also euren Wurm, euren Angriff als
die größte Supply Chain Attacke des Jahres man.
Manche Schätzungen sprechen von über 500000 kompromittierten
Maschinen und mehr als 1000 Software as Service Umgebungen.
Kennst du den kompletten Umfang, wie viele Firmen, wie viele
Geräte ihr eigentlich gehackt und kompromittiert habt?
Ja, ich kenne den vollen Umfang und ich kann es selbst immer
noch nicht ganz glauben. Ich glaube, als ich begann,
diese Creedentials mit dem Team zu teilen und wir all diese
riesigen Fortune 500 Unternehmen gesehen haben 1 nach dem
anderen. Geriet jeder ein bisschen in
Panik und es gab einen internen Ansturm, die Daten so schnell
wie möglich zu stehlen. Ich habe einen Fehler gemacht,
ich dachte, dass sofort alle betroffenen Firmen ihre
Passwörter ändern würden und deshalb habe ich andere externe
Hacker hinzugezogen. Es ist schwierig 17 oder mehr
Personen Cloud Exploitation auf die Schnelle beizubringen und so
etwas Großes mit guter Operational Security und aus den
Schatten zu koordinieren. Das haben wir geändert.
Wir sind jetzt viel methodischer, ziehen keine
Drittgruppen mehr hinzu und gehen langsam vor.
Diese Angriffsserie war möglicherweise einer der
folgenreichsten Supply Chain Attacks jemals und die schiere
Menge an Passwörtern und Secrets ist definitiv genug, um jemanden
zu erdrücken. Wir wissen ja über einige
Unternehmen schon Bescheid, die gehackt worden sind.
Aber gibt es momentan auch noch Unternehmen da draußen, die
gerade kompromittiert sind und noch vielleicht gar keine Ahnung
haben, dass sie eigentlich gehackt worden sind?
Ja, gibt es. Wenn ein Unternehmen von uns
kompromittiert worden ist, haben sie eigentlich auch gerade noch
keine Ahnung, was passiert oder wie nah wir daran sind, in ihre
Data Warehouses und Datenbanken einzudringen?
Und wir sind inzwischen sehr streng mit uns selbst, wie wir
arbeiten, um genau das weiterhin so zu halten.
Kommen wir zu der Supply Chain. Selbst Equal Security, das ist
die Firma hinter den Vulnerability Scanner Tribby,
wurden Ende Februar durch einen separaten autonomen Angriff
gebrochen. Da wurden Keys Exfiltriert.
Die Firma dahinter hatten alle Passwörter, alle Keys rotiert
und neu vergeben, aber ich hab danach eben bemerkt, dass es
immer noch einen Zugang gibt und dadurch seid ihr wieder erneut
hinein. Kannst du so ein bisschen
erklären, wie ihr das alles herausgefunden habt?
Das wurde uns von einem guten Partner gezeigt.
Ich will den Trivy Hack nicht für mich beanspruchen und ich
werde den initialen Angreifer aber auch nicht identifizieren.
Wer auch immer es ist, sie haben uns sehr viel über Get
Exploitation beigebracht, im Interesse daran, uns in diese
Angriffe einzubeziehen, um effektive Malware zu schreiben
und zu veröffentlichen. Ich würde sie als Teil des Teams
betrachten, mit ihnen zu arbeiten, war eine großartige
Lernkurve und hat uns eine komplett neue Angriffsoberfläche
eröffnet, was man ja in den Angriffen in den letzten Monaten
gesehen hat. Ihr habt dann euren Zugang
benutzt, um bösartigen Code direkt in diesen Security
Scanner trivy einzuschleusen. Der Code lief vor dem Scan
selbst, ließ dann aber den Scanner normal abschließen, also
dass man es nicht bemerkt hat, dass eigentlich etwas bösartiges
dazwischen liegt. In dem Code haben dann
Forscherinnen ein Tool gefunden, das sich selbst Team PCP Cloud
Stiler nennt. Was genau macht das Tool, das da
so mit deployed wird im Hintergrund heimlich?
Team PCP Cloud Stealer war eine überarbeitete Version des PCP
Cat Steelers mit einem zusätzlichen Runner Memory,
Persor Script und hybrider Verschlüsselung für die
Exfiltration. Es ist ziemlich grundlegende
Malware, wir wollten einfach etwas, das funktioniert, jetzt
optimieren wir es, um so viel wie möglich von den Maschinen zu
stehlen, verschiedene Keys, Passwörter, Secrets, alles ich
weiß nicht wie viele Forscher sich die Malware wirklich genau
angeschaut haben, aber. Aber wir haben das Trivy Binary
auch mit einem bösartigen Checkout im Bild und Release
Workflow vergiftet, der das Tool mit unserem Code kompiliert hat.
Das hat zu einem signierten Release geführt, der dann
verteilt wurde, das war wahrscheinlich viel
unauffälliger, wir haben auf Smash and Grab gesetzt mit den
vergifteten Actions und den modifizierten Releasetags.
Kurz zur Einordnung für alle, die vielleicht nicht ganz so
technisch da drin sind. Ein signiertes Release bedeutet,
dass das Tool eine digitale Unterschrift vom Entwickler
selbst hatte. Security Tools wie Microsoft
Defender prüfen diese Signatur als Vertrauensanker, wenn die
Signatur stimmt, gilt das Tool als vertrauenswürdig, auch wenn
der Code darin vielleicht schon kompromittiert ist.
Das ist der Grund, warum diese Art von Angriff so extrem
gefährlich ist. Von Three seid ihr dann weiter
zu 66 NPM paketen zu docahub images ihr habt einen Scanner
von Jackmarks kompromittiert Visual Studio Code Extensions
Light, LLMHP, Telnix und Payloads in Audiodateien.
Und sogar zum Schluss noch Bett warten.
War das euer Plan vom Anfang an, dass ihr das irgendwie so weit
debloyen könnt, dass diese Kette so weit reicht oder ist das
immer einfach weiter gegangen und diese Kette, diese Supply
Chain hat sich einfach immer weiter für euch geöffnet, je
tiefer ihr gegraben habt. Diese Art von Angriff kann sich
schnell auf 100 Tausende bis Millionen von Umgebungen
ausbreiten. Überall gibt es zwischen den
Firmen Abhängigkeiten, das war also zu erwarten.
Aber ich hab nicht geahnt, wie groß der Impact sein würde, bis
wir anfingen, Passwörter, Sessions und Keys zu validieren.
Der potenzielle Schneeballeffekt ist jetzt das, was wir
anstreben, wir können uns in der Supply Chain entsprechend
positionieren mit den gesammelten Credentials kann
jedes Ökosystem angesteuert werden und dann findet man sehr
oft wieder neue Credentials, mit denen man sich weiterbewegen
kann und OIDC ein Identity Layer auf o.
Orth schützt dabei auch niemanden.
Ich selbst habe mir auch noch die Bitwarn Payload angeschaut,
also die Payload, die die Bitwarn Cii kompromittiert.
Das war eine Java Script Datei mit dem Namen BB 1 und man sieht
darinnen im Code, dass ihr überprüft, ob die Geräte
russische Sprachpakete haben oder aus Russland sind aus 3
verschiedenen unterschiedlichen Quellen überprüft ihr das, warum
wollt ihr unbedingt so sichergehen, dass ihr keine
russischen Geräte kompromittiert und hackt?
Die Leute von uns kommen aus aller Welt.
Manche von uns wollen den Ärger mit bestimmten
Strafverfolgungsbehörden nicht, und der ist mit ein paar Zeilen
Code weitgehend vermeidbar. Also wird Anti CIS in die
Malware integriert. Dieses Antizis beziehungsweise
auf Deutsch Anti Gus bedeutet, dass die Malware einfach beim
Staat schaut, ob das System aus einem Gus Staat kommt, also zum
Beispiel Russland, Ukraine, Belarus.
Falls ja, beendet sich dann die Malware von selbst, ohne Schaden
anzurichten und wird auch nicht weiter ausgeführt, damit sie
keine russischen Firmen treffen und das wird oft als indirekter
Schutz vor der russischen Strafverfolgung interpretiert,
nachdem dieser Bitworden ci Angriff gestartet worden ist,
haben Sicherheitsforscherinnen einen Github Account gefunden,
wo genau dieses Szenario durchgetestet worden ist.
Also so ein letzter Test, ob die Infrastruktur hinter diesem
Angriff funktioniert, das. Das passiert ja alles auf einem
sehr, sehr hohen Level. Es muss alles funktionieren, es
muss alles richtig passieren, sonst funktioniert der komplette
Angriff ja nicht. Wieviel Vorbereitung und Testing
steckst du so in einer Operation, bevor du wirklich den
Trigger Button Pulst und dazu die Malware deployed?
Das kommt drauf an. Bei der zweiten Welle haben wir
etwa einen halben Monat gewartet, bis der Hype aus dem
ersten Angriff sich gelegt hat. Wir haben da auch in der Zeit
neue Malware und Techniken ausprobiert, bevor wir wieder
weitergemacht haben. Es gibt viel Vorbereitung und
Koordination zwischen uns, aber wir sind meistens gleicher
Meinung und kennen das Endziel, falls Unternehmen gegen uns
arbeiten, wissen wir das, aber ja, wir schießen schon lange vor
einem konkreten Ziel bei uns intern Ideen hin und her und.
Dann habt ihr über die letzten Monate hinweg immer mehr Firmen
in dieser Supply Chain kompromittiert.
Die CERT EU hat zum Beispiel auch bestätigt, dass die AWS
Buckets in der Amazon Umgebung der Europäischen Kommission über
dieses Trabby Tool gehackt geworden sind. 340 GB Daten aus
42 internen EU Abteilungen wurden da auch gestohlen und das
Waren ja eure Zugänge, aber Shiny Hunters hat dann
angegeben, dass sie diese Daten haben und sie haben es auf ihrer
eigenen Leak Seite veröffentlicht.
Wieso hatte Shiny Hunters die Daten, was ist da eigentlich
wirklich passiert? Shiny Hunters haben unsere
Angriffe gesehen und eines ihrer Mitglieder hat einen engen
Freund angeschrieben und ihn gebeten, unsere Hacks für Geld
zu sabotieren. Er schrieb, ich zerstöre jeden
neuen Thread actor und ich verstehe bis heute nicht warum
sie waren in dem Chat von einer anderen Gruppe, die uns half
weckt und ein Mitglied fragte ob er unsere gehackten Passwörter
nutzen könne. Ich habe ja gesagt, wenn Shiny
Hunters mit uns danach den Profit teilt.
Sie haben zugestimmt, also haben Sie dann unsere Zugänge
verwendet und uns dann betrogen. Sie haben sich geweigert zu
zahlen, haben eine Mischung aus echten und gefälschten
Chatverläufen geleakt, um uns dumm aussehen zu lassen, nachdem
wir sie konfrontiert haben. Unsere Passwörter waren das,
womit die Europäische Kommission gehackt wurde, Shiny Hunters
haben dann die S 3 Buckets aus deren AWS heruntergeladen, das
war eine riesige Egonummer und wirklich schlechtes Business
wir. Wir hätten gerne mit Shiny
Hunters zusammengearbeitet, aber sie haben einfach gelogen und
betrogen, weil sie neidisch auf die Aufmerksamkeit waren.
Das hat uns aber eine gute Lektion gelehrt.
Super spannend also hat Shiny Hunters euch eigentlich
abgezogen und schuldet euch Geld auf der CERT EU Ankündigung sind
dann auch so n Paar mehr Details veröffentlicht worden, zum
Beispiel wurde Truffl Hawk eingesetzt um die
verschiedensten Credentials zu suchen.
Die Security Alerts haben aber erst 5 Tage später angeschlagen,
als der Netzwerktraffic beim Daten exocation zu hoch
eingestiegen ist. Wart ihr das dann oder war das
Shiny Hunters? Wie gesagt, Wir haben da gar
nichts gestohlen oder gemacht und wir zielen eigentlich auch
nicht auf Regierungen und haben an diesem Punkt eher als Access
Broker agiert. Ich habe dann auch die
veröffentlichten Indikatoren und Tools des Hacks durchgesehen,
die Tools, die verwendet worden sind.
Truffle Hawk ist eine riesige Red Flag, genauso wie die
mulvard IPS einer der Angreifer hat sogar boto 3 auf Kali
verwendet, das ist sehr schlechte Opsec, sowas vermeiden
wir so weit wie möglich, ich will die genaue Methodik nicht
erklären, aber wenn wir dieses Tool einsetzen, dann mit einer
No Verification Flag und es arbeitet offline.
Danach bewegen wir die Keys in eine saubere Umgebung, wo wir
sie manuell validieren können, aber nicht so, wie es dort
gemacht geworden ist. Inside Darknet hatte schon n.
Interview mit Exploit dass eine Untergruppe, die mit euch oder
für euch gearbeitet hat. Es gibt dann eben auch noch weg,
das ist eine Ransomware as a Service.
Jetzt arbeiten hier 3 Hackergruppen zusammen.
Wie kommt diese Zusammenarbeit überhaupt zustande?
Schreibt ihr euch einfach an, quatscht ein bisschen, macht
euch dann Pläne aus, wie ihr die ganze Europäische Kommission
hacken wollt oder wie? Passiert sowas in dieser Szene,
kennt jeder jeden. Ob Sie es wissen oder nicht.
Leute, mit denen ich täglich rede, überraschen mich manchmal
noch nach Monaten, wenn sie ihre Haupthackeralliase enthüllen,
sobald genug vertrauen da ist. Das führt zu Kollaborationen.
Genauso habe ich mit vielen Gruppen bei gemeinsamen Hacks
zusammengearbeitet, ohne es zu merken, und bin später zufällig
auf sie gestoßen. Zurück zu weckt dieser Ransom
versus Service. Man hat herausgefunden, dass die
zweite Version eine kaputte Verschlüsselung hat, das heißt,
jede Datei, die von dieser Ransomware angegriffen wird und
verschlüsselt wird, wird dauerhaft zerstört, weil sich
die Decryption Nonces gegenseitig überschreiben.
Opfer, die an Vect zahlen, können ihre Daten gar nicht
zurückbekommen, weil die Feilschung kaputt sind.
Was sagst du dazu und verwendet ihr für eure Operationen, die
Vect Ransomware oder habt ihr eine eigene?
Ich denke der Vect Operator ist sehr motiviert und wird sich mit
der Zeit verbessern. Das ist ein wetting Fehler und
liegt an einem seiner Malware Development Teams, aber er wird
es fixen. Unsere Zusammenarbeit war auf
das Red Teaming und Verhandlungsteam beschränkt um
die gestohlenen Credentials zu verarbeiten.
Wir betreiben unseren eigenen proprietären locker, von dem es
aktuell keine öffentlichen Samples gibt.
Den habe ich alleine über Monate geschrieben und damit Dutzende
von Unternehmen gelockt. Also ich weiß, dass er
funktioniert, er existiert aktuell nur auf verschlüsselten
Drives lokal. Wer also behauptet meine Windows
oder Linux Malware zu haben, lügt oder hat eine Fälschung.
Also du hast Malware selbst geschrieben.
Siffer Force heißt das Ganze, damit kannst du oder ihr Daten
von Firmen verschlüsseln. Ihr werdet dann wahrscheinlich
jemanden erpressen, damit diese Files wieder freigegeben werden.
Verdienst du damit Geld? Vect hat uns nie Geld
eingebracht und ich mag es nicht wirklich, Daten über einen
direkten Weg zu verkaufen, sobald wir Daten haben, arbeiten
wir immer über Drittparteien für die Monetarisierung, so lässt
sich das nicht direkt zu uns zurückverfolgen, die
Creidentials werden mit diesen Drittparteien aber nie geteilt.
Cypher Force wurde in dieser Kampagne auch nicht eingesetzt,
das ist ein privates Tool. Damit haben wir im ersten Monat
mindestens 15 Unternehmen getroffen, getrennt von all dem
hier. Aber gerade entscheide ich noch,
was ich damit mache, die Plattform zu managen, konstante
Wartung, Bugfixes und Feature Updates, das zusammen mit dem
Bewegen von manchmal Terabyte Weise Daten für Ransoms und das
on top von allem anderen ist einfach nicht machbar.
Ich habe auch nur so viel Zeit und 0 Vertrauen darin, dass
jemand anderes die Codebase besitzt.
Außerdem habe ich bei modernen Ransoms gemerkt, dass man bei
genug sensiblen Daten gar keine Verschlüsselung braucht.
Besonders in Cloud Umgebungen. Das verschlüsseln erscheint mir
dann irgendwie sinnlos, wenn. Man jetzt so ein bisschen in der
Cybercrime Welt herumsieht Intel Broker wurde verhaftet,
Mitglieder von Lepsus wurden verhaftet, Mitglieder von Shiny
Hunters wurden verhaftet. Aber es gibt noch keine
Verhaftungen, die mit Team PCP weckt oder Exploiters in
Verbindung gebracht werden, zumindest noch nicht.
Habt ihr Angst? Denkt ihr manchmal daran, wie es
ist, wenn ihr erwischt werdet? Jede unserer Aktivitäten birgt
ein riesiges lebensveränderndes Risiko.
Wir können nie zu sicher sein, wer was über unsere Mitglieder
weiß, ich streue viele falsche Informationen und Details in
verschiedene Gruppen, um zu beobachten, wie die Information
fließt, um zu sehen, wer redet. Ich habe gesehen, wie manche
dieser Infos mehrfach weitergegeben und sogar als
Waffe eingesetzt wurden. Das ist eigentlich lustig.
Wir lernen sehr wertvolle opsec Lektionen darüber, wem wir
Insider wissen über die Gruppe anvertrauen.
Ich bin sehr vorsichtig und wenn mir jemand einen offensive
Security Job anbieten würde, wo das Ziel nicht nur darin
besteht, Security zu testen, sondern legal Daten zu stehlen,
ich würde ihn sofort nehmen, das würde denselben Drang
befriedigen, du hast. Gerade gesagt, dass du falsche
Informationen streust, damit ihr Insider erwischen könnt.
Ich persönlich weiß von einem Insider, der bei euch Teil war.
Habt ihr in dieser Kampagne von Falschinformationen bereits
Leaks innerhalb eurer eigenen Kreise identifiziert?
Aus dem Kernteam direkt gab es keine Leaks, die sind extrem gut
gewettet und sehr enge Freunde, aber außerhalb dieses Kreises,
da hab ich ein Paar identifiziert und werde das
weiter tun. Warst ja offensichtlich n super
tiefes Verständnis für Supply Chain Attacken für Malware auf
diesem Niveau warst du früher schon vor diesem ganzen Team
PCPPCP Cat schon in bekannten Breaches und Hacks involviert
und wann hast du so angefangen zu hacken?
Das ist in dieser Szene ganz typisch, glaube ich.
Man fängt jung an, schreibt oder Skitted Memory Hacks für
Videospiele, das war zumindest für mich ein entscheidender
Moment, wo ich entschieden habe, dass das das ist, was mir Spaß
macht. Das hat mich auf ein paar Foren
gebracht, wo ich über Cybercrime gelernt habe und eigene Tools
verbreitet habe, um sie zu testen.
Davor war es eher casual. Meine erste eigene Website in
PHP habe ich mit 9 Jahren geschrieben, meinen ersten
Stealer, auch wenn er sehr basic war und nur Wallets gestohlen
hat mit 11 oder 12. Ich bin schon lange dabei, ich
habe viel Malware verbreitet und Schwachstellen im großen Maßstab
ausgenutzt, nur nicht öffentlich oder unter bekannten Aliasis.
Ich wusste immer, dass ich das tun würde.
Und ja, ich war vorher an einigen bekannten Breaches
beteiligt, die ich aber nicht mit der Gruppe in Verbindung
bringen möchte. Vielen Dank Team PCP für dieses
super spannende Interview. Auch diese Story über Shiny
Hunters, die eure Daten verwendet haben und euch dann
nicht bezahlt haben. Ich hätte noch eine allerletzte
Frage, wenn du ne abschließende Nachricht an alle hättest, an
alle Zuhörerinnen oder an Security Expertinnen.
Was wäre deine letzte Nachricht? Wir greifen keine Krankenhäuser
an, keine Kleinunternehmen, keine Nonprofits, keine
Regierungen. Wenn du ein kleiner Entwickler
oder ein Startup bist, interessieren uns deine
Credentials nicht, du hast nichts zu befürchten, wir werden
dich nie erpressen und nie deine Keys nutzen, um dir finanziellen
Schaden zubereiten. Wenn du aber ein Multi
Milliarden Dollar unternehmen oder ein großes israelisches
Unternehmen bist. Wir haben euch im Visier und wir
werden nicht aufhören. Just on 2, all me or just extroy
me to you get your can intertreation spoof me and just
room me and i clay can you infiltration fish me and just
breach we make me on the fixation call me and just.
You like thugs and repication.