In Russland ist es Frühling. Ich hab heute extra noch
reingeschaut. In Moskau hat es zwischen. 6 und
8 Grad. Die ganze Woche über.
Vielleicht gibt es noch an den Straßenrändern schneereste, dann
schmelzen die auf jeden Fall gerade das Licht und die Sonne
ist noch flach, aber es ist wieder da und die Nächte sind
kürzer geworden, nicht kurz genug für so manchen.
In einem Zimmer irgendwo in Russland läuft ein Server.
Es ist kein besonderes Zimmer, es sind 4 Wände, ein
Schreibtisch, monitorlicht und es sitzt ein Mann vor seinem
Computer, er tippt präzise auf seiner Tastatur, er arbeitet an
einem Projekt, er weiß, was er baut, wie es technisch
funktioniert und er will keine Fehler machen, er baut seit
Wochen. Datenbankstrukturen Thread,
Architekturen, Zugriffsrechte. Und Features für Mods erbaut.
An einem Fundament eines Forums, das noch keiner kennt, außer ein
paar Leuten, denen er. Vertraut.
Und das. Sind nicht viele irgendwo auf
einem anderen Server in einem anderen Zimmer läuft noch RAM.
Das größte Ransomware Forum der Welt 5 Jahre lang eines der
einzigen Cybercrime Foren, das Ransomware erlaubt das Risiko,
dass die Strafverfolgungsbehörden da
aufmerksam werden, ist viel höher als bei Cybercrime Foren,
die keine Ransomware erlauben 10 tausende Posts, hunderte
Kontakte, bis es plötzlich in der gleichen Nacht offline gibt.
Das FBI braucht keine Kündigung und keine Vorwarnung.
Eines Tages ist die Seite noch da, am nächsten ist sie offline
und der Mann, der an diesem neuen Forum arbeitet, weiß zu
diesem Zeitpunkt wahrscheinlich selbst noch gar nicht, dass sein
Forum der nächste große Nachfolger zum Ramp werden
könnte, Tear One. Wahre.
Geschichten aus dem. Verborgenen.
Teil des Darkspits Ich bin Red und das ist Inside Darknet.
Jetzt habe ich mich gerade zum Recording Setup gesetzt, also da
wo ich den Podcast aufnehme und dieses Aufnahmesetup ist
natürlich auch mein Hauptarbeitsplatz.
Das Ganze ist bei mir in einem Büro und ich habe so eine
Aussicht hinter dem Bildschirmmonitor auf so einem
Hinterhof zwischen verschiedenen Häusern.
Und ich glaube, es ist jetzt gerade das erste Mal in diesem
Jahr, dass hier gerade wieder richtig die Sonne reinknallt.
Es ist richtig schön draußen, komplett blauer Himmel, die
Wiesen sind grün, die Sonne scheint.
Ich freue mich schon wieder riesig auf Sommer.
Und während ich da so raus sehe, hoffe ich es geht euch diese
Woche richtig gut. Ihr habt eine super schöne
Woche, ich weiß nicht ob das Wetter hält, aber falls es diese
Woche wieder regnerischer oder kälter wird, hoffe ich ihr habt
dieses Wochenende ein paar super schöne Sonnenstrahlen
abbekommen. Und jetzt, bevor wir gleich in
das Hauptthema einsteigen, gibt es wie immer die Cybercrime News
der Woche und diese Woche ist es wirklich verrückt, weil wir
nicht über Hacker sprechen, die irgendwelche Banken angreifen
oder Krankenhäuser verschlüsseln, sondern über
Ransomware Gruppen, die sich gegenseitig hacken, ja.
Neuigkeiten aus der Cyberbon. Sind zum.
Ziel eines großangelegten Cyberangriffs geworden.
Noch nie gesehen? 2.
Rivalisierende Ransomware Gruppen namens 0 AP T und
Private sind diese Woche aneinander geraten. 0 AP T ist
eine Gruppe dem Jenna aufgetaucht ist und innerhalb
weniger Tage angeblich hunderte Opfer auf ihrer League Seite
veröffentlicht hat, was Sicherheitsforscher und
Forscherinnen von Anfang an sehr skeptisch gemacht hat.
Tiefere technische Analysen deuten darauf hin, dass 0 APT
möglicherweise eher eine scam Operation ist als eine wirklich
starke Ransomware. Gruppe 0.
Apt hat dann auch Cribit eine andere Ransomware Gruppe auf
ihrer Opferseite gepostet und gedroht, die Hintermänner von
Cribit zu veröffentlichen, wenn kein Lösegeld gezahlt wird.
Das ist schon wild, aber es wurde dann eben noch wilder,
denn private hat zurückgeschlagen und behauptet
jetzt die Infrastruktur von 0 APT gehackt zu haben.
Also so ein Arransomware gegen Arransomware mit einem Hackback.
Also ein Angriff als Gegenwehr. Sie haben Teile der Kampagne von
0 APT übernommen, unter anderem auch Webseiten, wo sie eine
Warnung gepostet haben to not Play with the Big Boys, sie
haben dann auch noch zusätzlich Chatlogs von 0 APT gepostet,
also so ein richtiges Hacker Gang.
Battle. Jetzt sprechen wir diese Woche
wieder über Cybercrime Foren, diesmal nicht über Bridge Forums
oder wie auch immer die ganzen Nachfolger jetzt heißen, sondern
über russische Cybercrime Foren. Und ein neues davon ist eben TR
one. Aber um zu verstehen, warum Tr
One überhaupt relevant geworden ist, müssen wir kurz zum 28
Jänner dieses Jahres zurückspringen, denn an diesem
Tag hat das FBI Ramp Forums übernommen und falls euch jetzt
fragt, was ist denn jetzt dieses Ramp Forums, das ist so ein
bisschen ein Special Case, denn Ramp war eines der wenigen
Cybercrime Foren weltweit, das Ransomware offen erlaubt hat.
Und das über 5 Jahre hinweg. Ich habe es eh schon ein
bisschen im Intro angesprochen, ganz viele andere Cybercrime
Foren erlauben keine Ransomware, da es einfach Medien, die
Behörden und Researcher so extrem anlockt, zumindest
erlauben sie es nicht offen oder explizit, Ram war da eben
anders, es war dort nicht nur geduldet oder im Graubereich,
Ransomware war explizit am Forum erlaubt.
Es war auch deren Werbeslogan, der lautet The Only Place
Ransomware a loud. Dieses ganze Thema, das A
Ransomware nicht erlaubt ist, war früher ein bisschen anders,
bis ca 2021 herum. Da gab es einen Angriff von der
Darkside Ransom der Gruppe auf die Colonial Pipelines.
Das ist die größte Treibstoff Pipeline der USA, worauf sehr
viel politischer als in der USA passiert ist.
Zum Beispiel haben 16 US Bundesstaaten den Notstand
ausgerufen, das Weiße Haus war involviert und der Druck auf
Russland und russische Cybercrime fahren ist massiv
gestiegen. Die beiden damals größten Foren,
Xss und Exploit haben dann beide daraufhin alle Ransomware
Diskussionen verboten. Nicht weil sie plötzlich ein
Gewissen entwickelt haben oder sich dachten, Oh no, das war zu
viel, sondern weil sie einfach das Forum weiter betreiben
wollten, ohne dass jetzt Amerika da super groß involviert wird
und plötzlich gab es nichts mehr wo wirklich Ransomware Gruppen
selbst oder Ransomware SS servicegruppen sich
untereinander austauschen konnten die.
Woraufhin jemand namens Watwif oder Watsawaka die Infrastruktur
seiner eigenen Ransomware Gruppe Babuk recycelt hat und daraus
Ramp forms gebaut hat. Also es war davor eine
Ransomware Plattform und wurde dann zu einem Ransomware Forum
umgebaut, dort konnten Ransomware Gruppen ihre
Affiliate Recruten Access Broker ihre Zugänge verkaufen,
Streitigkeiten geschlichtet werden.
Sehr große Teile der Rance und Web Community an einem Ort der
Gründer Madreef, auch bekannt als Wasawaka oder Orange, wurde
dann auch gleich einer der meistgesuchten Cyberkriminellen
des FBI. Er stand auf der FBI Cyber Most
Wanted Liste und das Date Department hat $10000000
Belohnung auf ihn ausgesetzt. Ich sag's immer wieder,
Cybercrime zahlt sich nicht aus, denn auch mattweef wird dann
Ende 2024 in Russland verhaftet. Aber Ramp Forum selbst überlebt,
weil mattweef es davor schon weitergegeben hatte an jemanden
namens Stallman bis zum 28 Ende 2026 da übernimmt das FBI das
ganze Forum. Und Stallman taucht auf dem
anderen Forum Xss dieses Forum, was Ransomware verboten hat auf,
bestätigt da den Takedown und sagt er wird das Forum nicht neu
aufbauen, es ist einfach zu viel Aufwand.
Dann kamen verschiedenste Gerüchte, dass irgendwo ein
Informant drinnen war, dass er Geld bekommen hat, es wurden
anscheinend IP Adressen gelockt und das FBI hat anscheinend
Zugriff auf alles. Jetzt ist aber wieder das
gleiche Problem wie damals, wie Ramp das erste Mal aufgetaucht
ist. Die Randalware Community ist
obdachlos, sie dürfen auf den anderen Foren nicht über
Randalware diskutieren und genau in diesem Moment war eben T One
bereit und mit einem dieser Administratoren von T One habe
ich gesprochen. Das Interview wurde auf Russisch
geführt und dann wie immer mit einer KI übersetzt und danach
vertont. Das ist soweit ich weiß auch das
erste Interview, das dieser Administrator überhaupt gegeben
hat und dann eben mit Inside Darknet, also springen wir
gleich rein und ich sage Hi für unsere Zuhörerinnen und Zuhörer,
die dich noch nicht kennen, kannst du ganz kurz erklären,
wer du bist und was TO one ist. Hi, ich bin einer der
Administratoren von T One. T One ist ein Forum für
Menschen, die daran interessiert sind, Geld zu verdienen,
hauptsächlich durch Ransomware und diskutieren Themen rund um
dieses Gebiet, von der direkten Infiltration von Netzwerken bis
zur Monetarisierung von Daten und natürlich Sicherheit während
alldem. Ich habe die Story schon ein
bisschen erklärt, aber T One ist im frühen Februar 2026 online
gegangen, kurz nachdem Ramp vom FBI übernommen wurde.
War t One eine direkte Reaktion auf diesen Takedown oder war es
schon vorher in Planung? T One hat sich langsam und
schrittweise entwickelt, aber nachdem RAM geschlossen wurde,
hat sich der Prozess stark beschleunigt, weil ein Vakuum
entstanden ist. Es gab einen Bedarf an einer
zuverlässigen Plattform, auf der man Ramsomware und verwandte
Themen diskutieren konnte. In der Cybercrime Bubble nennen
T. One Manche den Nachfolger von
RAM. Siehst du das selbst auch so
oder versucht t One etwas anderes als Ramp zu sein?
Als Nachfolger würde ich das nicht bezeichnen, aber man kann
es anders formulieren. Wir haben die Ransomware Flagge
als Richtung für die Plattform aufgegriffen, wenn nicht wir
hätte es kurz danach jemand anderes getan, denke ich, wir
werden kein Nachfolger von Ramp sein.
Die Geschichte von Ransomware entwickelt sich weiter und wir
bewegen uns mit ihr. Ramp hat seinen Lauf gehabt und
seinen Eindruck hinterlassen, wenn.
Jetzt versuchen wir, Menschen zusammenzubringen und
voranzugehen. Wir werden sehen, was daraus
wird, wir versuchen anders zu sein, wir hören auf unsere User
und arbeiten ständig mit dem Team zusammen, um neue Features
einzuführen und das Forum zu verbessern.
Ich habe ja von euch einen Account am Forum bekommen.
Wenn man sich aber registriert, erwartet das Forum eine Zahlung
von $450 oder eben einen Nachweis, dass man in einem
anderen Forum zu einer Cybercrime Gruppe National
Ransomware gehört. Warum habt ihr genau dieses
Modell gewählt, dass man sich einkaufen muss, wenn man noch
keinen Namen in der Bubble hat? Im Moment gibt es Foren wie XSS
und Exploit, wo der Beitritt auch so geschlossen ist.
Eben ohne Randomware. Wir wollten Randomware erlauben
und dabei aber die Registrierung geschlossen halten, um
Researcher fernzuhalten. Wir bieten einen Raum für
Randomware, Filtern aber Script Kiddies heraus, wir versuchen
das Forum Publikum durch ein kleines Interview und Proof of
Work zu moderieren, sozusagen. Wir haben auch entschieden,
einen separaten Einstiegspunkt für Researcher zu schaffen.
Da sie ohnehin auf jede Plattform gelangen, aber ihre
Accounts sind limitiert und stehen unter genauer
Beobachtung. Ich möchte so ein bisschen
History mitnehmen. Vielleicht weißt du ein paar Key
Facts über Ramp. Es war ja seit 2021 eines der
wenigen Foren, das Ransomware erlaubt hat.
Als es dann vom FBI übernommen wurde, hat Stallman, also der
Owner dahinter gesagt, Jahre seiner Arbeit sind zerstört, das
freiste Form der Welt zu erschaffen.
Weißt du, warum das so viele Vorhang keine Ransomware
erlauben? Ja, Ramp wird für immer in der
Geschichte von Ransomware bleiben.
Was die Frage angeht, warum andere es nicht erlauben, frag
sie selbst. Ich denke jeder wird seine
eigene Antwort haben. Aber TO One erlaubt Ransomware
genauso wie Ramp. Ja, ich sage sogar noch mehr.
Das ist unser primäres Publikum. In der Vergangenheit haben wir
immer wieder von Ransomware gehört, die Krankenhäuser,
Schulen oder andere kritische Infrastruktur getroffen hat und
sehr viele Menschen darunter leiden mussten.
Manche Ransomware Gruppen haben Ethikregeln, zum Beispiel keine
Krankenhäuser anzugreifen, andere behaupten, sie haben
solche Regeln, es ist ihnen aber egal und andere haben das
komplett gar nicht. Hat t.
One irgendwelche ethischen Richtlinien oder ist bei euch
alles rein Business? Die einzige Regel unseres Forums
für Affiliate Operationen, die auf GUS Länder und die Ukraine
abzielen, sind streng verboten. Das gibt einen sofortigen
lebenslangen Abschluss aus unserer Community.
Das ist eine Regel, die man auf sehr vielen oder so gut wie
allen russischsprachigen Foren findet.
Auch bei Ransomware selbst. Warum ist für euch diese Regel
so wichtig und was passiert, wenn sie jemand bricht?
Es ist eine ziemlich offensichtliche Regel.
Man geht nicht dort auf die Toilette, wo man schläft, wie
man sagt. Unser Forum ist hauptsächlich
Russischsprachig, daher gibt es diese Regel, wir lieben die
Länder aus denen wir kommen und gegen die eigenen Leute zu
arbeiten ist ungesund für einen, das muss ich wohl nicht weiter
erklären, diese Regel ist sehr wichtig.
Wenn jemand sie nicht befolgt, gefährdet er nicht nur sich
selbst, sondern alle um ihn herum.
Solche Menschen haben auf unserer Plattform keinen Platz.
Ich habe mir jetzt natürlich euer Forum angesehen, so ein
bisschen geschaut, wer auch da unterwegs ist und auf T One sind
Ransomware Gruppen wie Shadow Bytes und Quillin aktiv.
Jetzt könnte natürlich jeder dorthin gehen, $450 zahlen und
sagen hey wir sind quillin. Wie könnt ihr verifizieren, dass
diese Gruppen legitim sind und keine Law Enforcement, Honey
Pots oder sogar scammer? Wir haben direkten Kontakt mit
den Administratoren. Die Ransomware Welt ist
eigentlich nicht so groß. Die meisten, die das ernsthaft
betreiben, kennen sich, wenn nicht direkt, dann über einen
Kontakt oder über einen alten Nickname.
Wenn wir jetzt noch mal zu Ramp Forums springen, es wurde ja im
Endeffekt dann übernommen und Teile der Datenbank sind geleakt
worden, E Mails, IP s sogar die Logbit Registrierungs e Mail ist
offen. Was habt ihr daraus gelernt, wie
schützt ihr eure T One User besser als Ramp als Konto?
Eine Lektion, kein Xenforo verwenden.
Es ist alt auf PHP gebaut und das FBI hat wahrscheinlich
mehrere Zero Days dafür. Deshalb haben wir alles von
Grund auf neu geschrieben. Wir sammeln weder I PS noch e
Mails, Wir arbeiten auch an einigen sehr interessanten
Lösungen zur Stärkung der User Sicherheit, aber ich möchte das
noch nicht öffentlich ankündigen.
Es gibt ja in der ganzen Cybercrime Welt super viele Take
Downs nach diesen Take Downs herrscht in der Community super
viel Paranoia. Manche glauben, dass zum
Beispiel T One Xss und Rehub FBI honeypots sind.
Also dass das Foren vom FBI sind um Fredacters zu finden.
Was sagst du dazu? Wir versuchen, so transparent
und unaufdringlich wie möglich zu sein.
Zum Beispiel sammeln wir keine E Mails und I PS.
Manche könnten sagen, wir sammeln trotzdem accountdaten,
aber wenn jemand paranoid ist, kann er sich über Xmr
registrieren. Was passiert, wenn T morgen
übernommen wird? Habt ihr so einen Backup Plan
oder würdet ihr das Forum neu aufbauen oder?
Wie funktioniert sowas bei der Cybercrime Forenwelt?
Wir machen täglich Server, datensicherungen, also wenn
etwas gelöscht wird oder das FBI eingreift, können wir alles
wiederherstellen und weiterarbeiten.
Wir arbeiten auch an End 2 End Encrypted Chats, damit niemand
Nachrichten von Usern lesen kann, plus einige andere
interessante Lösungen, die die Sicherheit der Forum User
definitiv stärken werden. Hast du Angst dieses Forum zu
leiten, zu administrieren? Hast du bedenken, dass
vielleicht Law enforcements, dass das FBI oder andere
Behörden dir auf den Fersen sind?
Persönlich vertraue ich mir selbst und meinem Team.
Also fühle ich den Druck nicht wirklich.
Wäre ich allein, hätte ich es nicht gemacht.
Eine Art Dezentralisierung hilft dabei.
Und warum baut man überhaupt so ein Forum?
Vor allem mit Rance. Und wer ist es ja noch viel
gefährlicher. Glaubst du, man kann wirklich
reich werden damit oder geht es eher um die Community und den
Ruf? Klar, vielleicht verdienst du in
4 Jahren 500000, wenn du Glück hast.
Aber ist das was du willst ein normales Gehalt?
Für mich persönlich geht es mehr um die Community und die
Entwicklung und zusammen ist es immer interessanter und
einfacher. Wir sind schon fast am Ende des
Interviews. Eine vorletzte Frage habe ich
noch. Gibt es irgendwelche
interessanten Geschichten aus dem Forum?
Es ist ja noch relativ neu, die du aber gerne teilen möchtest.
In den ersten Tagen der offiziellen Forum Eröffnung und
des Chats schrieb einer der User, so Wetten wir welche die
erste Blacklist sein wird und buchstäblich einen Tag später
gab es das erste Verfahren. Das mit dem Bann eines bekannten
Users endete, der eine der wenigen Regeln gebrochen hatte,
die wir haben. Das passiert eben.
Vielen Dank. Administrator von t one.
Danke, dass du dabei warst. Hast du noch ein paar letzte
Worte für unsere Zuhörerinnen? Ich wünsche allen Erfolg,
Freiheit und Gesundheit. Danke für das Interview, ich
hoffe, alle Zuhörer und Leser haben dieses coole Interview
genossen. All me or just extroy me to you
get your penetration spoof me and just room me and i clay
can't your infiltration fish me and just breach we make we are
the fixation call me and just was me life doctions Rap.