Gameover ZeuS

GameOver ZeuS ( GOZ ), auch bekannt als Peer-to-Peer ( P2P ) ZeuS , ZeuS3 und GoZeus , ist ein Trojaner, der vom russischen Cyberkriminellen Jewgeni Bogatschow entwickelt wurde. Die Schadsoftware entstand 2011 als Nachfolger von Jabber Zeus , einem weiteren Projekt Bogatschows, und ist berüchtigt für ihren Einsatz bei Bankbetrug mit einem Schaden von rund 100 Millionen US-Dollar. Sie war zudem das Hauptinstrument des CryptoLocker- Ransomware-Angriffs, der ebenfalls Millionenverluste verursachte. Auf dem Höhepunkt ihrer Aktivität in den Jahren 2012 und 2013 waren zwischen 500.000 und 1 Million Computer mit GameOver ZeuS infiziert.

Die ursprüngliche GameOver ZeuS-Schadsoftware wurde über Spam-E-Mails verbreitet , die Links zu Webseiten enthielten, welche die Malware auf den Computer des Opfers herunterluden. Der infizierte Computer wurde anschließend in ein Botnetz integriert , das damals als eines der ausgefeiltesten und sichersten Botnetze weltweit galt. Das GOZ-Botnetz zeichnete sich insbesondere durch seine dezentrale Peer-to-Peer- Infrastruktur aus, die in Kombination mit anderen Sicherheitsmaßnahmen wie Rootkits die Abschaltung des Botnetzes extrem erschwerte. Die Aktivitäten des Botnetzes wurden zudem von einer kriminellen Organisation unter der Führung von Bogachev gesteuert, die hauptsächlich in Russland und Osteuropa aktiv war. Das Syndikat erschwerte die Bekämpfung durch Strafverfolgungsbehörden und Sicherheitsforscher zusätzlich durch den Einsatz eines großen Geldwäschenetzwerks und DDoS-Angriffe , die sowohl als Vergeltungsmaßnahme als auch als Ablenkungsmanöver bei Diebstählen dienten.

Im Jahr 2014 wurde das ursprüngliche GameOver-ZeuS-Botnetz im Rahmen der Operation Tovar , einer Kooperation zwischen Strafverfolgungsbehörden mehrerer Länder und privaten Cybersicherheitsfirmen, abgeschaltet . Bogachev wurde kurz darauf angeklagt, und für Hinweise, die zu seiner Verhaftung führten, wurde eine Belohnung von 3 Millionen US-Dollar ausgesetzt – damals die höchste Belohnung, die jemals für einen Cyberkriminellen gezahlt wurde. Knapp zwei Monate nach Abschluss der Operation Tovar wurde eine neue Variante von GameOver ZeuS entdeckt. Diese Variante, genannt „newGOZ“, verfügte zwar nicht über Peer-to-Peer-Funktionen, teilte aber ansonsten 90 Prozent ihres Quellcodes mit dem ursprünglichen GOZ. Die Beteiligung der ursprünglichen GameOver-ZeuS-Administratoren an den Aktivitäten von newGOZ seit dessen Entstehung ist umstritten.

Zeus ist eine Familie von Trojanern und verwandter Schadsoftware , die erstmals 2007 auftrat. ^{[ 1 ] [ 2 ]} Das Hauptmerkmal von Zeus-Varianten ist ihre Fähigkeit, infizierte Rechner in Botnetze zu integrieren – Systeme aus mehreren Geräten, die über die Schadsoftware ferngesteuert werden können. ^{[ 3 ]}

Der Schöpfer und Hauptentwickler des ursprünglichen Zeus war Evgeniy Bogachev, auch bekannt als „lucky12345“ und „slavik“. ^{[ 4 ] [ 5 ]} Die ursprüngliche Version von Zeus war sogenannte „Kit-Malware“ – potenzielle Cyberkriminelle konnten eine Lizenz für die Nutzung einer Kopie von Zeus erwerben oder eine minderwertige, kostenlose Version beziehen. ^{[ 6 ] [ 7 ]} Mit der Lizenz konnte der Käufer Zeus nutzen, um einen eigenen Trojaner zu erstellen und diesen nach Belieben einzusetzen. ^{[ 8 ]} Ende 2010 kündigte Bogachev seinen Rückzug aus der Cyberkriminalität an und übergab den Quellcode von Zeus an einen Konkurrenten namens SpyEye . Sicherheitsforscher betrachteten diesen Schritt mit Skepsis, da Bogachev bereits mehrfach seinen Rücktritt angekündigt hatte, nur um anschließend mit einer verbesserten Version von Zeus zurückzukehren. ^{[ 9 ]} Tatsächlich war Bogachev nicht im Ruhestand, sondern hatte sich vom Verkauf von Zeus als Malware-Kit an die allgemeine kriminelle Unterwelt zum Verkauf von Zugang zu vollständig entwickelten Versionen des Trojaners an einen kleineren Kundenkreis verlagert. ^{[ 10 ]} Diese „private“ Version von Zeus wurde als Zeus 2.1 oder Jabber Zeus bekannt . Die mit Jabber Zeus durchgeführten Straftaten wurden von einem organisierten Verbrechersyndikat verübt, dessen Schlüsselmitglied Bogachev war. Dieses Syndikat löste sich 2010 aufgrund von Polizeimaßnahmen weitgehend auf. ^{[ 11 ]}

GameOver ZeuS wurde am 11. September 2011 als Update für Zeus 2.1 entwickelt. ^{[ 12 ]} Im Mai 2011 wurde der Quellcode von Zeus geleakt, was zu einer Vielzahl von Varianten führte. ^{[ 13 ] [ 14 ]} Sicherheitsforscher schreiben den Leak mal Bogachev, mal Aleksandr Panin, dem Entwickler von SpyEye, zu. ^{[ 15 ]} Der Cybersicherheitsexperte Sean Sullivan merkte an, dass der Leak für Bogachev günstig kam, da er sich neuen kriminellen Unternehmungen widmen konnte, während die Ermittler durch die neuen Zeus-Varianten abgelenkt waren.

Forscher wurden 2011 auf das GameOver ZeuS-Botnetz aufmerksam. Im Januar 2012 warnte das FBI Unternehmen vor GOZ. ^{[ 16 ]} Der Name „GameOver ZeuS“ wurde von Sicherheitsforschern geprägt und stammt von einer Datei namens „gameover2.php “ , die vom C2-Kanal verwendet wurde. ^{[ 11 ] [ 17 ]} Weitere Bezeichnungen waren Peer-to-Peer ZeuS, ZeuS3 ^{[ 18 ]} und GoZeus. ^{[ 19 ]} Innerhalb von Bogachevs kriminellem Netzwerk war die Schadsoftware als Mapp 13 bekannt, wobei „13“ die Versionsnummer ist . ^{[ 12 ]}

GameOver ZeuS wurde über Spam-E-Mails verbreitet , die sich als verschiedene Gruppen wie Online-Händler, Finanzinstitute und Mobilfunkunternehmen ausgaben. Die E-Mails enthielten einen Link zu einer kompromittierten Website, von der die Schadsoftware heruntergeladen wurde. Diese Spam-E-Mails wurden über ein anderes Botnetz, Cutwail , versendet , das häufig von Cyberkriminellen zum Versenden von Spam gemietet wurde. ^{[ 13 ]}

Die Nutzung von GameOver ZeuS wurde von Bogachev und einer Gruppe, die sich selbst als „Business Club“ bezeichnete, verwaltet. Der Business Club bestand hauptsächlich aus Kriminellen, die für die Nutzung der GOZ-Oberfläche bezahlt hatten. Im Jahr 2014 zählte der Business Club etwa fünfzig Mitglieder ^{[ 11 ]} , überwiegend Russen und Ukrainer ^{[ 20 ]} . Das Netzwerk beschäftigte auch technisches Supportpersonal für die Malware ^{[ 21 ]} . Die Mitglieder des kriminellen Netzwerks waren über ganz Russland verteilt, die Kernmitglieder, wie beispielsweise Bogachev, hatten ihren Sitz jedoch hauptsächlich in Krasnodar ^{[ 4 ]} . Die Mitglieder des Business Clubs nutzten GOZ nicht ausschließlich und waren oft auch Mitglieder anderer Malware-Netzwerke ^{[ 22 ]} . Dennoch beschrieb das US-Justizministerium (DOJ) die Mitglieder der Gruppe als „eng verbunden“ ^{[ 23 ] .}

Neben dem Businessclub wurde eine große Anzahl von Geldwäschern rekrutiert, um gestohlene Gelder zu waschen . Die Geldwäscher, die sich aus Gründen der Anonymität in den USA aufhielten, wurden über Spam-E-Mails des GOZ-Botnetzes angeworben, in denen ihnen Teilzeitarbeit angeboten wurde. ^{[ 24 ]} Die Geldwäscher wussten nicht, dass sie gestohlene Gelder verwalteten oder für ein kriminelles Syndikat arbeiteten. ^{[ 25 ]}

Der Businessclub kontrollierte von 2011 bis 2014 sämtliche Aktivitäten von GameOver ZeuS. Das Syndikat nutzte GOZ hauptsächlich für Bankbetrug und Erpressung; es waren jedoch auch andere Einnahmequellen wie Klickbetrug und die Vermietung des Botnetzes bekannt. ^{[ 11 ]}

GameOver ZeuS wurde typischerweise zum Diebstahl von Bankdaten, insbesondere von Krankenhäusern, eingesetzt. Dies geschah primär durch Keylogger . ^{[ 26 ]} Die Malware konnte jedoch auch Browser-Hijacking nutzen, um die Zwei-Faktor-Authentifizierung zu umgehen . Ihre Benutzeroberfläche verfügte über ein spezielles „Token-Grabber“-Panel, um diese Man-in-the-Browser- Angriffe zu ermöglichen. ^{[ 27 ]} Dieses Panel trug den Namen „World Bank Center“ und den Slogan „Wir spielen mit euren Banken“. ^{[ 4 ]} Indem dem Opfer eine gefälschte Version der Anmeldeseite seiner Bank präsentiert wurde, konnte ein Krimineller den benötigten Code oder die erforderlichen Informationen für den Zugriff auf das Konto des Opfers anfordern. Sobald sich das Opfer mit diesen Informationen auf der gefälschten Seite „angemeldet“ hatte, erhielt es eine Fehlermeldung oder den Hinweis „Bitte warten“, während die Zugangsdaten an die Kriminellen übermittelt wurden. Mit diesen Informationen konnten die Malware-Betreiber auf das Bankkonto zugreifen und Geld stehlen, ^{[ 27 ]} üblicherweise Hunderttausende oder Millionen von Dollar. ^{[ 11 ]} In einem Fall wurden einem einzelnen Opfer 6,9 Millionen Dollar gestohlen. ^{[ 28 ]} Im Jahr 2013 entfielen 38 % der auf diese Weise verfolgten Diebstähle auf die GOZ. ^{[ 29 ]}

Ab November 2011 führten die Betreiber von GOZ DDoS-Angriffe auf Bankwebseiten durch, wenn sie größere Geldbeträge stahlen. Ziel war es, die Opfer am Einloggen zu hindern und die Aufmerksamkeit der Netzwerkadministratoren vom Diebstahl abzulenken. Die DDoS-Angriffe wurden mit einem kommerziell erhältlichen Kit namens „Dirt Jumper“ durchgeführt. ^{[ 13 ] [ 30 ]} Das gestohlene Geld wurde über ein großes Netzwerk von Geldkurieren geschleust, bevor es die Kriminellen erreichte. Dadurch wurden Herkunft und Ziel vor den Behörden verschleiert. ^{[ 24 ]} Bis Juni 2014 wurden allein in den Vereinigten Staaten mehr als 100 Millionen US-Dollar gestohlen. ^{[ 31 ] [ 32 ]}

Die Geldwäsche verlief entlang der Tag-Nacht-Linie , beginnend in Australien und endend in den Vereinigten Staaten. Kriminelle, die an Geldtransfers beteiligt waren, arbeiteten von Montag bis Freitag in Schichten von neun bis fünf Uhr und übergaben die Verantwortung nach Schichtende an das westlich von ihnen liegende Team. ^{[ 4 ]} Die meisten Geldtransporte der Kuriere waren Briefkastenfirmen im Kreis Raohe und in der Stadt Suifenhe , zwei Regionen in der chinesischen Provinz Heilongjiang an der Grenze zu Russland . ^{[ 33 ]}

Die Schnittstelle zur Steuerung des Botnetzes konnte genutzt werden, um von den Bots protokollierte Daten auszulesen und Befehle auszuführen. ^{[ 34 ]} Neben dem Bedienfeld zum Abgreifen von Token gab es ein weiteres Bedienfeld, das das Abheben von Geldern von Bankkonten ermöglichte. Der Benutzer konnte hier ein „Zielkonto“ auswählen, auf das das Geld indirekt überwiesen werden sollte. ^{[ 35 ]} Botnetzbetreiber durften außerdem eigene Skripte laden, um diese gegen infizierte Systeme einzusetzen, allerdings unter der Voraussetzung, dass sie keine russischen Computer angreifen durften. ^{[ 36 ]}

Im Jahr 2013 begann der Business Club, GameOver ZeuS zur Verbreitung von CryptoLocker einzusetzen , einer Ransomware , die die Inhalte der Rechner der Opfer verschlüsselte und im Austausch für einen Entschlüsselungsschlüssel Zahlungen in Form von Prepaid-Gutscheinen oder Bitcoin forderte. ^{[ 24 ]} Josephine Wolff, Assistenzprofessorin für Cybersicherheitspolitik an der Tufts University , ^{[ 37 ]} vermutet, dass die Umstellung auf Ransomware zwei Gründe hatte. Erstens war Ransomware eine sicherere Methode, um mit GOZ Geld zu erpressen, als Banküberfälle, da die Kriminellen mit weniger Aufwand Geld von den Opfern erhielten und die anonymen Zahlungsmethoden nicht über Geldwäscher ^{[ 24 ]} abgewickelt werden mussten , deren Loyalität fraglich war, da sie nicht wussten, dass sie für Kriminelle arbeiteten. Zweitens nutzte die Ransomware den Zugriff der Kriminellen auf Daten auf infizierten Computern aus, die für die Opfer wichtig, für die Kriminellen aber von keinem unmittelbaren Wert waren, wie beispielsweise Fotos und E-Mails. ^{[ 38 ]} Der Journalist Garrett Graff hat außerdem die These aufgestellt, dass Ransomware dazu diene, „ungenutztes Vermögen in Profit zu verwandeln“, indem sie Geld von Opfern erpresste, deren Bankguthaben zu gering waren, um einen direkten Diebstahl zu rechtfertigen. ^{[ 11 ]}

Zwischen 200.000 und 250.000 Computer wurden ab 2013 von CryptoLocker angegriffen. ^{[ 28 ] [ 39 ]} Die Höhe der von Bogachev und seinen Komplizen durch CryptoLocker erzielten Gewinne ist unklar; Wolff behauptete, allein in einem Monat von Oktober bis Dezember 2013 seien 27 Millionen US-Dollar gestohlen worden. ^{[ 40 ]} Michael Sandee, einer der Forscher, die zur Zerschlagung des ursprünglichen GameOver-ZeuS-Botnetzes beitrugen, schätzte die gesamten Gewinne von CryptoLocker jedoch auf lediglich 3 Millionen US-Dollar. ^{[ 41 ]} Wolff argumentierte, dass das Vermächtnis von GameOver ZeuS nicht in seiner innovativen P2P-Botnetzstruktur liege, sondern in dem Präzedenzfall, den es mit CryptoLocker für zukünftige Ransomware-Angriffe schuf. ^{[ 42 ]}

Die Analyse des Botnetzes deckte Versuche auf, auf kompromittierten Computern nach geheimen und sensiblen Informationen zu suchen, insbesondere in Georgien, der Türkei, der Ukraine ^{[ 43 ]} und den Vereinigten Staaten. Experten vermuten daher, dass GameOver ZeuS auch für Spionage im Auftrag der russischen Regierung eingesetzt wurde. ^{[ 44 ]} Das Botnetz in der Ukraine begann erst nach dem Zusammenbruch der prorussischen Regierung im Zuge einer Revolution im Jahr 2014 mit solchen Suchvorgängen. ^{[ 45 ]} Auch OPEC- Mitgliedstaaten wurden ins Visier genommen. ^{[ 20 ]} Die Suchvorgänge waren auf das jeweilige Zielland zugeschnitten: In Georgien wurden Informationen über bestimmte Regierungsbeamte gesucht, in der Türkei Informationen über Syrien, in der Ukraine wurden generische Schlüsselwörter wie „Bundessicherheitsdienst“ und „Sicherheitsagent“ verwendet ^{[ 46 ]} , und in den USA wurden Dokumente gesucht, die Ausdrücke wie „streng geheim“ und „Verteidigungsministerium“ enthielten. ^{[ 44 ]} Die für Spionagezwecke eingesetzten Botnetze wurden getrennt von denen betrieben, die für Finanzkriminalität genutzt wurden.

Es ist unklar, wer genau für die Spionageoperationen verantwortlich war. Während der Sicherheitsforscher Tillman Werner, der an der Zerschlagung des ursprünglichen GOZ-Botnetzes beteiligt war, die Möglichkeit eines Partners oder Auftraggebers in Betracht zog, behauptete Sandee, Bogachev sei hauptsächlich oder allein verantwortlich gewesen. Er argumentierte, Bogachev habe als Einziger Zugriff auf die Überwachungsprotokolle der Schadsoftware gehabt und sei aufgrund seiner Verbindungen zu Ukrainern gezwungen gewesen, die Spionage geheim zu halten. ^{[ 46 ]} Sandee vermutete, dass die Nutzung des Botnetzes für Spionagezwecke Bogachev einen gewissen Schutz bot, der erklären könnte, warum er trotz seines offenen Lebens unter seinem richtigen Namen in Russland noch nicht gefasst wurde . ^{[ 47 ] [ 44 ]}

Die Fähigkeit zum Aufbau von Botnetzen war allen Zeus-Varianten gemeinsam; allerdings erzeugten frühere Versionen der Malware vor GameOver ZeuS zentralisierte Botnetze, in denen alle infizierten Geräte direkt mit einem Command-and-Control- Server (C2-Server) verbunden waren. ^{[ 48 ]} GOZ unterschied sich von diesen früheren Versionen durch die Nutzung einer dezentralen Peer-to-Peer -Infrastruktur (P2P), ^{[ 48 ]} in der infizierte Computer hauptsächlich untereinander und nicht mit einem C2-Server kommunizierten. ^{[ 49 ]} Auf dem Höhepunkt der GOZ-Aktivität von 2012 bis 2013 umfasste das Botnetz zwischen 500.000 und einer Million kompromittierter Computer. ^{[ 50 ]}

Das Botnetz war in drei Schichten organisiert. Die unterste Schicht bestand aus den infizierten Rechnern, von denen einige von der kriminellen Gruppe manuell als „Proxy-Bots“ bezeichnet wurden. Proxy-Bots fungierten als Vermittler zwischen der untersten Schicht und einer zweiten Proxy-Schicht, die aus dedizierten Servern der Gruppe bestand. Die zweite Schicht diente dazu, Distanz zwischen den infizierten Rechnern und der obersten Schicht zu schaffen, von der aus Befehle erteilt und Daten von den infizierten Rechnern an diese gesendet wurden. ^{[ 51 ]} Diese Infrastruktur erschwerte die Rückverfolgung der C2-Server des Botnetzes, da die Botnetzbetreiber jeweils nur mit einer kleinen Teilmenge der infizierten Rechner direkt kommunizierten. ^{[ 52 ]} Obwohl das Botnetz insgesamt so strukturiert war, war es in mehrere „Sub-Botnetze“ unterteilt, die jeweils von einem anderen Botmaster betrieben wurden. ^{[ 53 ]} Es existierten bis zu 27 dieser Sub-Botnetze, von denen jedoch nicht alle aktiv genutzt wurden; einige dienten lediglich Debugging-Zwecken. ^{[ 21 ]}

GOZ enthielt mehrere Sicherheitsfunktionen, die eine vollständige Analyse des Botnetzes verhindern sollten – insbesondere durch die Einschränkung der Aktivitäten von Crawlern und Sensoren ^{[ a ]} – sowie Abschaltversuche unterbinden sollten. Viele dieser Funktionen wurden implementiert, um Angriffsmethoden entgegenzuwirken, die häufig gegen frühere Versionen von Zeus eingesetzt wurden ^{[ 56 ]} . Die Sicherheitsforscher Dennis Andriesse und Herbert Bos bezeichneten GameOver ZeuS als „signifikante Weiterentwicklung“ und als widerstandsfähiger als seine Vorgänger ^{[ 57 ]} . Aufgrund der Effektivität dieser Mechanismen wurde GOZ als hochentwickeltes Botnetz eingestuft ^{[ 58 ].} Der stellvertretende US-Justizminister James M. Cole nannte es „das raffinierteste und schädlichste Botnetz, dem wir je begegnet sind“ ^{[ 59 ]} . Auch der Cybersicherheitsforscher Brett Stone-Gross, der vom FBI mit der Analyse von GameOver ZeuS beauftragt wurde , bestätigte, dass das Botnetz trotz der Bemühungen von Strafverfolgungsbehörden und Sicherheitsexperten gut geschützt war ^{[ 60 ] .}

Crawler wurden durch verschiedene Maßnahmen gehemmt. Jeder Bot hatte fünfzig Peers ^{[ 61 ]} , lieferte jedoch auf Anfrage nur zehn Peers zurück ^{[ 62 ]} . Zusätzlich wurde die Anzahl der Anfragen nach Peer-Listen begrenzt, sodass schnelle Anfragen von einer IP-Adresse dazu führten, dass diese Adresse als Crawler markiert und automatisch auf eine Blacklist gesetzt wurde ^{[ 63 ]} , wodurch jegliche Kommunikation zwischen der markierten IP-Adresse und dem markierenden Bot unterbrochen wurde. Jeder Bot verfügte außerdem über eine Liste bereits bestehender, von Sicherheitsorganisationen kontrollierter Blacklist-Adressen ^{[ 64 ] .}

Sensoren wurden durch einen IP-Filtermechanismus eingeschränkt, der verhinderte, dass mehrere Sensoren eine IP-Adresse gemeinsam nutzten. Dadurch wurde unterbunden, dass Einzelpersonen oder Gruppen mit einer einzigen IP-Adresse Sinkholing- Angriffe auf das Botnetz durchführen konnten. ^{[ b ] [ 66 ]} Es ist bekannt, dass die Botmaster von GOZ als Reaktion auf Sinkholing-Versuche DDoS-Angriffe durchführten . ^{[ 67 ]}

Falls ein GOZ-Bot keinen Kontakt zu anderen Bots herstellen konnte, nutzte er einen Domain-Generierungsalgorithmus (DGA), um die Verbindung zu den C2-Servern wiederherzustellen und eine neue Liste von Peers zu erhalten. ^{[ 68 ]} Der DGA generierte wöchentlich tausend Domains, und jeder Bot versuchte, jede einzelne zu kontaktieren. Dies bedeutete, dass die Botmaster, falls die aktuellen C2-Server des Botnetzes von einer Abschaltung bedroht waren, einen neuen Server mit einer Domain aus der generierten Liste einrichten und die Kontrolle über das Netzwerk wiedererlangen konnten. ^{[ 52 ]} Die Server selbst wurden von einem hochsicheren Hosting- Anbieter bereitgestellt und waren schwer angreifbar, da sie keine tatsächlichen IP-Adressen besaßen; der Datenverkehr wurde über virtuelle IP-Adressen geleitet , die keinem Gerät zugeordnet waren. Die Abschaltung der Adressen hatte daher keine Auswirkungen auf die Server. ^{[ 69 ]}

Die Kommunikation zwischen den Bots war verschlüsselt . Der verwendete Algorithmus änderte sich im Laufe der Zeit: Vor Juni 2013 nutzte GOZ eine XOR-Verschlüsselung , neuere Bots nach Juni 2013 hingegen RC4 , was das Eindringen in das Botnetz erschwerte. Wichtige Mitteilungen der Botnetz-Manager wurden zudem mit RSA signiert . ^{[ 70 ]}

Es existierte eine spezielle „Debug-Version“ der Malware, die detaillierte Netzwerkprotokolle lieferte. Diese Debug-Version diente dazu, Einblicke in die Aktivitäten von Sicherheitsforschern gegen das Botnetz zu gewinnen und geeignete Gegenmaßnahmen zu entwickeln. ^{[ 22 ]} Die Malware selbst war aufgrund eines darin enthaltenen Rootkits ebenfalls schwer zu entfernen. ^{[ 71 ]} Das Rootkit, Necurs , stammte von einer anderen Malware. ^{[ 72 ]}

Am 25. März 2012 gab Microsoft bekannt, dass GameOver ZeuS in einer beispiellosen, proaktiven, branchenübergreifenden Aktion mit dem Codenamen „Operation b71“ zerschlagen worden sei. ^{[ 73 ] [ 74 ]} Die Operation wurde von IT-Sicherheitsexperten scharf kritisiert, da sie gegen Datenschutzbestimmungen verstieß , unbeabsichtigt legitime Domains lahmlegte ^{[ 75 ]} und strafrechtliche Ermittlungen gegen die Schöpfer und Betreiber des Botnetzes behinderte. ^{[ 76 ]} In einem Blogbeitrag bezeichnete Sandee die Operation unter anderem als „unverantwortlich“ und „einen schweren Rückschlag“. ^{[ 77 ]} Letztendlich scheiterte Operation b71 an der Abschaltung von GameOver ZeuS aufgrund seiner Peer-to-Peer-Architektur. ^{[ 13 ]} Zwei weitere Versuche von Sicherheitsforschern zwischen 2012 und Januar 2013, das Botnetz zu stoppen, blieben ebenfalls erfolglos. ^{[ 11 ]}

Das ursprüngliche GameOver ZeuS-Botnetz wurde im Rahmen einer internationalen Strafverfolgungsaktion mit dem Codenamen „ Operation Tovar “ unter der Leitung des FBI zerschlagen. Beteiligt waren außerdem rund 20 Unternehmen und private Institutionen ^{[ 78 ] [ 16 ]} , darunter CrowdStrike , McAfee und die Carnegie Mellon University . ^{[ 79 ]} Die Planung für die Operation Tovar begann 2012, als das FBI die Zusammenarbeit mit privaten Cybersicherheitsfirmen zur Bekämpfung von GOZ aufnahm. ^{[ 80 ]} Bis 2014 ^{[ 11 ]} hatten die britischen Behörden dem FBI Informationen über einen von GOZ kontrollierten Server in Großbritannien übermittelt, der Aufzeichnungen betrügerischer Transaktionen enthielt. Die Informationen auf dem Server, kombiniert mit Interviews ehemaliger Geldkuriere, ermöglichten es dem FBI, die Botnetz-Infrastruktur von GOZ zu verstehen. Bogachev wurde als Kopf des GameOver ZeuS-Netzwerks identifiziert, indem die IP-Adresse, über die auf seine E-Mails zugegriffen wurde (die von einem Informanten bereitgestellt worden war), mit der IP-Adresse abgeglichen wurde, die zur Administration des Botnetzes verwendet wurde. ^{[ 16 ] [ 81 ]} Obwohl Bogachev ein virtuelles privates Netzwerk (VPN) nutzte , um seine Adresse zu verschleiern, verwendete er für beide Aufgaben dasselbe. ^{[ 82 ]} Das Team der Operation Tovar analysierte zudem den DGA der Malware, wodurch es jegliche Versuche zur Wiederherstellung des Botnetzes verhindern und diese auf staatlich kontrollierte Server umleiten konnte. Die C2-Server von GOZ in Kanada, der Ukraine und Kasachstan wurden von den Behörden beschlagnahmt, ^{[ 83 ]} wobei die Ukraine am 7. Mai 2014 als erstes Land Server beschlagnahmte. US-Beamte wollten, dass die Ukraine mit den Beschlagnahmungen am 29. Mai beginnt, diese wurden jedoch aufgrund des russisch-ukrainischen Krieges vorgezogen . ^{[ 79 ]}

Nach Abschluss der Vorbereitungen begann die Operation Tovar am 30. Mai und war innerhalb von vier bis fünf Stunden abgeschlossen. Es handelte sich um einen Sinkholing-Angriff, der die Kommunikation zwischen den Bots und ihren Kommandoservern unterbrach und sie auf die zuvor erwähnten, staatlich kontrollierten Server umleitete. ^{[ 80 ]} Da die von GOZ kontrollierten Domains in Russland und damit außerhalb der US-amerikanischen Gerichtsbarkeit registriert waren, wiesen die Strafverfolgungsbehörden die US-amerikanischen Internetanbieter an , alle Kontaktversuche zu GOZ-Domains über FBI-kontrollierte Server umzuleiten, bevor die Anfragen Russland erreichten. ^{[ 84 ]} Die technischen Details der Operation sind größtenteils weiterhin geheim. ^{[ 83 ]} Zusätzlich begannen die Strafverfolgungsbehörden in Kanada, Frankreich, Deutschland, Luxemburg, den Niederlanden, der Ukraine und Großbritannien am 30. Mai mit der Beschlagnahmung wichtiger GOZ-Server. ^{[ 85 ]}

Am 2. Juni gab das US-Justizministerium den Ausgang der Operation Tovar bekannt. Am selben Tag wurde auch die Anklage gegen Bogachev veröffentlicht. ^{[ 86 ]} Die Behörden warnten jedoch gleichzeitig, dass das Botnetz wahrscheinlich innerhalb von zwei Wochen zurückkehren würde. ^{[ 87 ]} Am 11. Juli erklärte das Justizministerium, dass die GOZ-Infektionen infolge der Operation um 32 Prozent zurückgegangen seien und nahezu alle infizierten Computer „von der Kontrolle der Kriminellen befreit“ worden seien. ^{[ 42 ] [ 88 ]} Am 24. Februar 2015 setzte das Justizministerium eine Belohnung von 3 Millionen US-Dollar für Hinweise aus, die zur Festnahme Bogachevs führen würden . ^{[ 89 ]} Dies war damals die höchste jemals für einen Cyberkriminellen ausgesetzte Belohnung. ^{[ 50 ] [ c ]} Bogachev wird auch 2024 noch gesucht. ^{[ 93 ]}

Fünf Wochen nach der Durchführung der Operation Tovar gab das Sicherheitsunternehmen Malcovery die Entdeckung einer neuen GOZ-Variante bekannt, die über Spam-E-Mails verbreitet wird. Obwohl die neue Malware rund 90 Prozent ihres Quellcodes mit früheren GOZ-Versionen teilte, baute sie kein Peer-to-Peer-Botnetz auf, sondern nutzte Fast Flux , eine Technik, bei der Phishing- und Malware-Verbreitungsseiten hinter einem sich schnell verändernden Netzwerk kompromittierter Systeme, die als Proxys fungieren, verschleiert werden. ^{[ 94 ]} Ursprung und Motive der neuen Variante mit dem Namen „newGOZ“ waren unklar; Sandee vermutete, dass newGOZ ein Trick sei, um den Quellcode der Malware preiszugeben und Bogachev abzulenken. ^{[ 14 ]} Malcoverys erster Bericht behauptete jedoch, der neue Trojaner stelle einen ernsthaften Versuch dar, das Botnetz wiederzubeleben. ^{[ 95 ]} Die ursprünglichen Botnetze GameOver ZeuS und newGOZ waren voneinander unabhängige Einheiten. Die von den jeweiligen Domain-Generierungsalgorithmen generierten Domainlisten unterschieden sich, obwohl die Algorithmen ähnlich waren, und das ursprüngliche GOZ-Botnetz wurde von Malcovery als immer noch "abgeschottet" beschrieben. ^{[ 96 ]}

Die neue Malware wurde in zwei Varianten unterteilt. Diese unterschieden sich in zwei Punkten: der Anzahl der von der DGA generierten Domains (eine Variante generierte 1.000 Domains pro Tag, die andere 10.000) und der geografischen Verteilung der Infektionen – die erste Variante infizierte hauptsächlich Systeme in den USA, die zweite zielte auf Computer in der Ukraine und in Belarus ab. ^{[ 97 ]} Am 25. Juli 2014 wurde geschätzt, dass 8.494 Rechner mit newGOZ infiziert waren. ^{[ 98 ]} Es wurden auch andere GOZ-Varianten gemeldet, darunter „Zeus-in-the-Middle“, das Mobiltelefone angreift. ^{[ 99 ]} Im Jahr 2017 machten Zeus-Varianten 28 % aller Banking-Malware aus. ^{[ 100 ]} Sandee behauptete jedoch, dass neuere Malware einen Großteil des Marktanteils von Zeus verdrängt. ^{[ 14 ]}

• Zeitleiste der Computerviren und -würmer

Ähnliche russische und osteuropäische Cyberkriminalitätsgruppen:

• Avalanche nutzte Botnetze und E-Mail-Spam.
• Berserk Bear , eine hochentwickelte, persistente Bedrohung, die bekanntermaßen Cyberkriminelle einsetzt
• REvil , setzte Ransomware ein.

Ähnliche Botnetze:

• Conficker , ein in seiner Blütezeit extrem produktives Botnetz.
• Sality , ein weiteres Peer-to-Peer-Botnetz
• Torpig , ein weiteres Botnetz, das sich über Trojaner verbreitete
• Tiny Banker Trojan , abgeleitet von Zeus
• Das ZeroAccess-Botnetz wird auch über P2P und Trojaner verbreitet.

• Steckbrief von Bogachev
• Anklage gegen Bogachev wegen von ZeuS ermöglichter Verbrechen