Russischer Hacker infiziert sich durch eigenen Infostealer und geht Sicherheitsfirma ins Netz

Nette Geschichte am Rande:  Ein Hacker, der seit  2020 in russischsprachigen Foren operierte hat irrtümlich seinen Computer durch eine von ihm benutzte Malware infiziert, so dass Informationen an Sicherheitsforscher von Hudson Rock verkauft wurden. So konnte der Hacker mit dem Namen La_Citrix identifiziert werden. Seine Daten wurden an die Strafverfolger übergeben.

Laut Darkreading operierte der Hacker mit dem Alias La_Citrix mit Zugangsdaten von Citrix Remote Desktop Protocol (RDP) VPN-Servern von Unternehmen, die er in russischsprachigen Dark Web-Foren an den Meistbietenden verkaufte. Um die Zugangsdaten abzugreifen, nutzte der Hacker einen Infostealer, und seine Kampagnen ließen sich bis ins Jahr 2020 zurückverfolgen.

Dann infizierte La_Citrix versehentlich seinen eigenen Computer mit der Malware. Dadurch scheint er irrtümlich seine seine eigenen Daten zusammen mit einer Sammlung gestohlener Daten an Sicherheitsforscher von Hudson Rock verkauft zu haben. Diese verfolgten die Aktivitäten im Dark Web zum Aufkauf solcher Bedrohungsdaten.

Hudson Rock ist ein israelisches Cybercrime Intelligence-Unternehmen. Das Unternehmen ist darauf spezialisiert, kompromittierte Zugangsdaten von Bedrohungsakteuren ausfindig zu machen, die dann in "Cavalier" einfließen. Das ist ein Produkt zur Überwachung von Bedrohungsdaten und zur Benachrichtigung von Cybersicherheitsexperten, welches über kompromittierte Zugangsdaten von Mitarbeitern, Partnern und Benutzern informiert.

Der erste Hinweis darauf, dass etwas Ungewöhnliches im Gange war, gab es, als die API von Hudson Rock in den gestohlenen Daten einen einzigen Nutzer entdeckte. Dieser tauchte aber "als Angestellter" bei fast 300 verschiedenen Unternehmen auf. So geht es aus einem HudsonRock-Bericht hervor.

Bei einer näheren Analyse stellte sich heraus, dass La_Citrix beim Infizieren von Computern versehentlich seinen eigenen Computer mit dem Infostealer infiziert hatte. Dadurch wurden wohl seine eigenen Daten mit verkauft, ohne dass der Hacker dies merkte. Den Sicherheitsforschern gelang es, La_Citrix zu identifizieren, als sie sich andere Hacker ansahen, die von Info-Stealern infiziert waren und Zugang zu bekannten Cybercrime-Foren hatten.

Im Anschluss inspizierten die Sicherheitsforscher den Computer von la_citrix näher. Überraschenderweise wurde festgestellt, dass dieser Bedrohungsakteur alle Hackerangriffe von seinem persönlichen Computer aus steuerte und dass die auf diesem Computer installierten Browser die für die verschiedenen Hackerangriffe verwendeten Unternehmensdaten speicherten.

Die Daten, die vom Computer von La_Citrix abgerufen werden konnten, wie z. B. "Installierte Software", enthüllen die wahre Identität des Hackers, seine Adresse, Telefonnummer und andere belastende Beweise, wie z. B. "qTox", ein bekannter Messenger, der von Ransomware-Gruppen verwendet wird und auf dem Computer installiert ist. Die Sicherheitsforscher haben diese Daten dann an die Strafverfolger weiter gegeben. Weitere Details lassen sich in diesem HudsonRock-Bericht nachlesen.