Die spanischen Behörden haben einen 16-jährigen rumänischen Staatsangehörigen festgenommen, dem vorgeworfen wird, der Hauptakteur von KillSec zu sein, einer Ransomware-Gruppe, die mit rund 1.000 Angriffen weltweit in Verbindung gebracht wird. Die Festnahme war Teil einer internationalen Ermittlung, die sich über mehrere europäische Länder erstreckte.

Laut den Ermittlern kompromittierte KillSec Zielorganisationen, indem es Software-Schwachstellen und unzureichend gesicherte Zugangspunkte ausnutzte, wobei Cloud-Speicher eine besondere Schwachstelle darstellten. Die Gruppe soll angeblich sensible Daten kopiert haben, bevor sie Kryptowährungszahlungen forderte, und drohte, die gestohlenen Informationen zu veröffentlichen, falls die Opfer nicht kooperierten – ein Druckmittel, das als doppelte Erpressung (Double Extortion) bekannt ist und zum festen Bestandteil von Ransomware-Operationen geworden ist, da gestohlene Daten den Druck aufrechterhalten, selbst wenn Opfer verschlüsselte Systeme aus Backups wiederherstellen können.

Die Rückverfolgung der Gelder ist zu einem zentralen Strang der Ermittlung geworden. Die spanische Polizei erklärte, dass Beamte bei Durchsuchungen Krypto-Wallets beschlagnahmten und Transaktionen identifizierten, die offenbar zu Lösegeldzahlungen einiger Opfer passen. Da die meisten Kryptowährungszahlungen dauerhafte Spuren in öffentlichen Ledgern hinterlassen, können beschlagnahmte Wallets und übereinstimmende Transaktionen den Ermittlern zeigen, wohin die Lösegeldgelder nach der Zahlung geflossen sind.

Koordinierte Großaktion in vier Ländern

Die Operation führte zu drei Festnahmen und acht Durchsuchungen in Spanien, Griechenland, Rumänien und dem Vereinigten Königreich. Ein zweiter Verdächtiger, der in Großbritannien festgenommen wurde, ist mit einem Auslieferungsersuchen aus Puerto Rico konfrontiert, wo die US-Behörden separat einen niederländischen Staatsangehörigen wegen mutmaßlicher KillSec-bezogener Cyberangriffe angeklagt haben. Ein dritter Verdächtiger wurde in Rumänien festgenommen. Diese grenzberschreitenden Rechtsschritte – das Auslieferungsersuchen und die separaten US-Anklagen – liegen noch aus und könnten bestimmen, wo mutmaßliche KillSec-Mitglieder letztlich vor Gericht gestellt werden.

Die Ermittler haben zudem einen Entwickler identifiziert, der im August 18 wurde, aber zum Zeitpunkt einiger der mutmaßlichen Taten angeblich minderjährig war. Diese Person wurde nicht festgenommen.

Reuters berichtete, dass der 16-Jährige in Alicante festgenommen wurde und im Verdacht steht, als Administrator von KillSec zu fungieren. Die Behörden haben die Identität des Jugendlichen nicht öffentlich gemacht.

Krypto-Erlöse bleiben im Fokus

Die spanischen Ermittler beschlagnahmten Computerausrüstung, Mobiltelefone, Krypto-Wallets und Werkzeuge, die zur Verschleierung der Aktivitäten bestimmt waren. Die Beweismittel könnten den Behörden helfen nachzuverfolgen, wie Lösegeldzahlungen durch Krypto-Wallets flossen, und weitere Beteiligte oder Vermögenswerte im Zusammenhang mit der mutmaßlichen Operation zu identifizieren.

Europol teilte mit, dass KillSec erhebliche Lösegeldzahlungen von Opfern erhielt und zudem eine Leak-Website betrieb, auf der es drohte, gestohlene Informationen zu veröffentlichen, wenn Organisationen die Zahlung verweigerten.

Die Behörden haben die Kontrolle über KillSecs Infrastruktur übernommen, darunter Server mit rund 110 Terabyte Daten. Die Ermittlungen dauern an, während die Strafverfolgungsbehörden die mutmaßlichen Angriffe der Gruppe, die Erlöse und das weitere Netzwerk untersuchen, so CryptoMeter io.