Marcus Hutchins

Marcus Hutchins (geboren 1994 in Ascot ^{[ 2 ]} ), online auch bekannt als MalwareTech , ist ein britischer IT-Sicherheitsforscher, der durch die Abwehr des WannaCry-Ransomware-Angriffs bekannt wurde . ^{[ 3 ] [ 4 ]} Er ist bei dem Cybersicherheitsunternehmen Kryptos Logic angestellt. ^{[ 5 ] [ 6 ]}

Hutchins ist der ältere Sohn von Janet Hutchins, einer schottischen Krankenschwester, und Desmond Hutchins, einem jamaikanischen Sozialarbeiter. Um 2003, als Hutchins neun Jahre alt war, zog die Familie aus dem städtischen Bracknell bei London ins ländliche Devon . ^{[ 7 ]} Hutchins stammt aus Ilfracombe in Devon. ^{[ 8 ]} Er zeigte früh ein Talent für Computer und erlernte schon bald einfache Hacking- Fähigkeiten, wie beispielsweise das Umgehen der Sicherheitsvorkehrungen an Schulcomputern, um Videospiele zu installieren. ^{[ 7 ]} Außerdem absolvierte er eine Ausbildung zum Rettungsschwimmer. ^{[ 7 ]}

Er engagierte sich in einem Online-Forum, das die Entwicklung von Schadsoftware förderte , eher um seine Fähigkeiten unter Beweis zu stellen als aus böswilligen Gründen. Mit etwa 14 Jahren entwickelte er seinen eigenen Beitrag: einen Passwortdieb, der auf der AutoFill-Funktion des Internet Explorers basierte und im Forum Anklang fand. Er verbrachte so viel Zeit in dieser Community, dass seine schulischen Leistungen nachließen. ^{[ 7 ]} Als die Schulsysteme gehackt wurden, beschuldigten die Schulbehörden Hutchins des Angriffs. Obwohl er jegliche Beteiligung abstritt, wurde er dauerhaft von der Nutzung der Schulcomputer ausgeschlossen, was ihn dazu veranlasste, noch häufiger die Schule zu schwänzen und mehr Zeit in den Schadsoftware-Foren zu verbringen. ^{[ 7 ]}

Etwa zu dieser Zeit wurden die ursprünglichen Malware-Foren geschlossen, und Hutchins wechselte zu einer anderen Hacker-Community, HackForums. In diesem neuen Forum wurde von den Mitgliedern erwartet, dass sie ihre Fähigkeiten unter Beweis stellten, indem sie den Besitz eines Botnetzes demonstrierten . Der damals 15-jährige Hutchins erstellte erfolgreich ein Botnetz mit 8.000 Computern für HackForums, indem er BitTorrent- Nutzer dazu brachte, seine gefälschten Dateien auszuführen, um die Kontrolle über ihre Rechner zu erlangen. ^{[ 7 ]} Durch diesen Erfolg erkannte Hutchins finanzielle Möglichkeiten für seine Hackerfähigkeiten, obwohl er diese damals , wie er in einem Interview von 2020 erklärte, nicht mit Cyberkriminalität in Verbindung brachte. ^{[ 7 ]} Zu diesen Aktivitäten gehörte das Einrichten von „Ghosting“-Webhosting für andere Mitglieder von HackForums für „alle illegalen Seiten“ außer Kinderpornografie sowie die Entwicklung eigener Malware, oft basierend auf der Analyse der Funktionsweise von Rootkits anderer Nutzer . ^{[ 7 ]}

Laut Hutchins' Aussagen in späteren Interviews und seiner Vereinbarung mit der Staatsanwaltschaft wurde er, als er etwa 16 Jahre alt war und sich in Hackerkreisen durch seine selbst entwickelte Malware einen Namen gemacht hatte, von einer Online-Person namens „Vinny“ kontaktiert. Vinny bat ihn, ein gut gewartetes, vielseitiges Rootkit zu entwickeln, das auf verschiedenen Hacker-Marktplätzen verkauft werden sollte. Hutchins sollte die Hälfte des Gewinns aus jedem Verkauf erhalten. Hutchins willigte ein und hatte Mitte 2012 das UPAS Kit fertiggestellt, benannt nach dem giftigen Upas-Baum . ^{[ 7 ]} In dieser Zeit beklagte sich Hutchins in Gesprächen mit Vinny einmal über den Mangel an gutem Cannabis im Land. Vinny fragte nach seiner Adresse, die Hutchins ihm gab, und später, an seinem 17. Geburtstag, erhielt er ein Paket mit verschiedenen Drogen. ^{[ 7 ]} Der Verkauf des UPAS Kits brachte Hutchins Tausende von Dollar in Bitcoin ein , sodass er die Schule abbrechen und ein komfortables Leben führen konnte. Er hielt die Art seiner Arbeit jedoch vor seiner Familie geheim. ^{[ 7 ]}

Vinny wandte sich kurz darauf wieder an Hutchins und bat ihn, UPAS Kit 2.0 zu entwickeln, insbesondere mit Keylogging und Web-Injection für Browserformulare. Hutchins erkannte, dass diese Funktionen wahrscheinlich für das Abfangen von Finanztransaktionen auf Bankwebseiten gedacht waren und er somit Cyberkriminalität ermöglichen würde, wenn er das Update schrieb. ^{[ 7 ]} Hutchins lehnte die Entwicklung solchen Codes ab, doch Vinny nutzte die Tatsache aus, dass er aufgrund einer früheren Drogenübergabe Hutchins' Geburtsdatum und Adresse kannte und bereit war, diese dem FBI mitzuteilen , falls Hutchins nicht kooperierte. ^{[ 7 ]} Hutchins einigte sich schließlich darauf, Keylogging in UPAS Kit 2.0 zu integrieren, ließ aber Web-Injection aus, dessen Fertigstellung weitere neun Monate dauerte.

Anschließend teilte Vinny ihm mit, dass er einen weiteren Programmierer engagiert hatte, um UPAS Kit mit Web-Injections zu aktualisieren, und dass er nun wollte, dass Hutchins und dieser Programmierer zusammenarbeiten, um den Code in einem einzigen Paket zusammenzuführen. Obwohl Hutchins ethisch hin- und hergerissen war, entschied er sich, weiterhin mit Vinny zusammenzuarbeiten, um zumindest sicherzustellen, dass er für seine bisher geleistete Arbeit bezahlt wurde, zögerte die Sache aber so lange wie möglich hinaus. ^{[ 7 ]} Der neue Code wurde im Juni 2014 fertiggestellt, und als Vinny begann, ihn im Darknet zu verkaufen , benannte er UPAS Kit 2.0 in Kronos um , nach dem griechischen Titanen Kronos . ^{[ 7 ]}

Hutchins hatte ein Community College besucht ^{und kämpfte} mit dem Abschluss seines letzten Studienjahres und den von Vinny geforderten Korrekturen an Kronos. Erschwerend kam hinzu, dass ^er während der Arbeit an Kronos drogenabhängig geworden war. ^{[ 7 ]} In dieser Zeit lernte er in Hackerforen online jemanden namens „Randy“ kennen. Randy, der in Los Angeles lebte, suchte nach einem Banking-Rootkit wie Kronos. Hutchins erwähnte dies nicht, doch in längeren Gesprächen stellte sich heraus, dass Randy eher philanthropische Ziele verfolgte. Um Randy zu helfen, bot Hutchins ihm seine Unterstützung beim Bitcoin-Handel an. Durch einen Stromausfall verlor Hutchins jedoch eines Nachts Bitcoins im Wert von über 5.000 US-Dollar von Randy. Im Gegenzug offenbarte Hutchins seine Verbindung zu Kronos und bot Randy eine kostenlose Kopie an. Nachdem sie den Deal abgeschlossen hatten, erkannte Hutchins seinen Fehler, dies einem Fremden anvertraut zu haben, und fürchtete, von den Strafverfolgungsbehörden kontaktiert zu werden. ^{[ 7 ]}

Hutchins schloss 2015 sein Community College ab und beendete seine Drogensucht abrupt . Er vertröstete Vinnys Anfragen nach Updates für Kronos mit der Begründung, er sei mit seinem Studium beschäftigt, bis die Anfragen und Zahlungen von Vinny schließlich ausblieben. ^{[ 7 ]} Nach mehreren Monaten der Angst beschloss er, einen anonymen Blog namens MalwareTech zu starten, in dem er Hacks detailliert analysierte. Grundlage dafür waren seine Erkenntnisse aus der Bewertung fremder Rootkits sowie seine eigene Arbeit an UPAS Kit und Kronos, wobei er seine Verbindung zu diesen Rootkits verschwieg. ^{[ 7 ]} Als neue Rootkits auftauchten, begann Hutchins, diese zu reverse-engineeren und die Details auf MalwareTech zu veröffentlichen, beispielsweise zum Kelihos- und Necurs-Botnetz . Er entwickelte außerdem einen eigenen Botnetz-Tracking-Dienst, der sich in Botnetze einloggen und die Aktivitäten der Botnetzbetreiber überwachen konnte. ^{[ 7 ]} Seine Veröffentlichungen weckten das Interesse von Salim Neino, dem CEO von Kryptos Logic, der ihm eine Stelle anbot.

Hutchins willigte ein. Während er weiterhin von Ilfracombe aus arbeitete, analysierte er neue Botnetze und lieferte Kryptos Logic detaillierte Informationen. Gleichzeitig verfasste er für MalwareTech Beschreibungen der von ihm entdeckten übergeordneten Funktionen, während Kryptos Logic die Botnetze auf laufende Cybersicherheitsbedrohungen überwachte. ^{[ 7 ]} Durch diese Zusammenarbeit wuchs Hutchins' Ruf unter seiner MalwareTech-Identität. Ein ehemaliger NSA- Hacker bezeichnete ihn als „Reverse-Engineering-Genie“ , obwohl nur wenige Mitarbeiter bei Kryptos seine wahre Identität kannten. ^{[ 7 ]} Hutchins und Kryptos Logic spielten eine entscheidende Rolle bei der Abschaffung eines Ablegers des Mirai- Botnetzes bzw. eines DDoS-Angriffs ( Distributed Denial of Service ) im Jahr 2016, der die Lloyds Bank getroffen hatte . ^{[ 9 ] [ 10 ]} Nachdem Hutchins den Hacker ausfindig gemacht hatte, konnte er ihn mit seinen eigenen Erfahrungen überzeugen, das Botnetz zu stoppen. ^{[ 7 ]}

Der WannaCry-Ransomware-Angriff begann um den 12. Mai 2017. Durch Ausnutzung einer Sicherheitslücke im Server Message Block (SMB ) von Microsoft Windows verbreitete er sich innerhalb eines Tages von seinem mutmaßlichen Ursprungsort in Nordkorea auf über 230.000 Computer in 150 Ländern. Infizierte Computer waren scheinbar gesperrt und konnten nur entsperrt werden, wenn der Benutzer einen bestimmten Betrag in Bitcoin an ein bestimmtes Konto überwies. ^{[ 11 ] [ 12 ]}

Hutchins wurde am Nachmittag des 12. Mai auf WannaCry aufmerksam und begann, obwohl er im Urlaub war, von seinem Schlafzimmer aus den Code zu analysieren. Er entdeckte, dass die Schadsoftware mit einem ungewöhnlich aussehenden Domainnamen verknüpft war , was darauf hindeutete, dass sie Teil einer für Botnetze typischen Kommando- und Kontrollstruktur sein könnte. Zu seiner Überraschung war der Domainname jedoch nicht registriert. Er registrierte ihn daraufhin umgehend und richtete bei Kryptos Logic Server innerhalb dieser Domain ein, die als Honeypots dienten und es ermöglichten, die infizierten Computer zu verfolgen. Während sich der WannaCry-Wurm in den folgenden Stunden weiter ausbreitete, stellten Sicherheitsforscher fest, dass er aufgrund der von Hutchins vorgenommenen Domainregistrierung nicht weiter ausgeführt werden konnte; die Domain fungierte quasi als Not-Aus-Schalter des Wurms . ^{[ 7 ] [ 13 ]} Hutchins und Kryptos verbrachten zusammen mit dem britischen National Cyber ​​Security Centre die folgenden Tage damit, die Honeypot-Server vor weiteren DDoS-Angriffen zu schützen. Einige dieser Angriffe wurden von aktiven Mirai-Botnetzen neu gestartet, um sicherzustellen, dass der Killswitch aktiv blieb, während Microsoft und andere Sicherheitsexperten fieberhaft daran arbeiteten, die Sicherheitslücke im Server Message Block (SMB) zu schließen und den Patch an die Endnutzer zu verteilen. ^{[ 7 ] [ 14 ] [ 15 ]} Französische Cybersicherheitsforscher fanden in einem separaten Projekt eine Methode, betroffene Computer zu entsperren und zu entschlüsseln, ohne das Lösegeld zahlen zu müssen. ^{[ 16 ]}

Hutchins' Arbeit als MalwareTech zur Bekämpfung von WannaCry wurde hoch gelobt, was jedoch dazu führte, dass die Presse ihn in den darauffolgenden Tagen als die Person hinter MalwareTech identifizierte. ^{[ 17 ] [ 18 ]} Hutchins versuchte, die Presse, insbesondere die aufdringlichen Boulevardzeitungen, die seinen Namen und seine Adresse in Verbindung mit dem Namen MalwareTech veröffentlicht hatten, zu meiden. ^{[ 19 ]} Er willigte jedoch in ein einziges Interview mit der Associated Press unter seinem richtigen Namen ein, um das ihm zugeschriebene Heldenbild zu entkräften. ^{[ 20 ]} In diesem Interview verschwieg er seine Vergangenheit und erklärte lediglich, dass er seinen Job bei Kryptos Logic aufgrund seiner Softwarekenntnisse und seines MalwareTech-Blogs, den er während seiner Schulzeit als Hobby betrieben hatte, erhalten hatte. ^{[ 19 ]} Durch seine Aktionen gegen WannaCry erlangte er in der Cybersicherheitswelt eine Art Berühmtheitsstatus, und es wurden Pläne geschmiedet, ihn im August desselben Jahres zur DEF CON Cybersecurity-Konferenz in Las Vegas einzuladen . ^{[ 7 ]}

Am 3. August 2017 wurde Hutchins vom FBI festgenommen, als er sich auf die Rückreise von der DEF CON nach England vorbereitete. Ihm wurden sechs Anklagepunkte im Zusammenhang mit Hacking vor dem US-Bezirksgericht für den östlichen Bezirk von Wisconsin zur Last gelegt . Ihm wurde vorgeworfen, 2014 und 2015 Kronos entwickelt und verbreitet zu haben. ^{[ 21 ] [ 22 ] [ 23 ]} Laut Dokumenten , die Vice im Rahmen des Freedom of Information Act ( FOIA) erhielt, hatte das FBI Hutchins mit Kronos in Verbindung gebracht, nachdem es im Juli 2017 die Vermögenswerte von AlphaBay beschlagnahmt und dabei Beweise für mindestens einen Verkauf von Kronos gefunden hatte. ^{[ 24 ]} Das FBI hatte Kopien seiner Konversationen mit Randy aus einer anderen Darknet -Server- Beschlagnahmung vor AlphaBay erhalten, um seine Verbindung zu der Software zu beweisen. ^{[ 24 ]} Hutchins gestand dies im Verhör. ^{[ 7 ]}

Nachdem Hutchins Neino über seine missliche Lage informiert hatte, verbrachte er die Nacht in einem Gefängnis in Las Vegas . Neino alarmierte daraufhin seine Mitarbeiter, was in der Cybersicherheits-Community eine Kettenreaktion von Warnungen zu Hutchins' Situation auslöste. Viele glaubten fälschlicherweise, die Verhaftung stehe im Zusammenhang mit den WannaCry-Angriffen. Zahlreiche Cybersicherheitsexperten und Hacker eilten ihm zu Hilfe und halfen, die Kaution für Hutchins aufzubringen. Da einige der Spenden jedoch gestohlene Kreditkarten und Bitcoin enthielten, weckte dies weitere Verdächtigungen hinsichtlich Hutchins' Aktivitäten. Schließlich konnten Tarah Wheeler und ihr Ehemann Deviant Ollam die Kaution vorstrecken und Hutchins eine Unterkunft in Los Angeles vermitteln, da ihm die Ausreise aus dem Land verboten war. ^{[ 7 ]}

Bei seiner Anklageverlesung plädierte er auf nicht schuldig und wurde in Los Angeles unter Hausarrest gestellt, zunächst mit strengen Ausgangssperren und GPS-Überwachung . Diese Maßnahmen wurden jedoch nach einigen Monaten aufgehoben. ^{[ 25 ] [ 26 ]} Hutchins hatte beabsichtigt, sein „nicht schuldig“ als Teil einer Vereinbarung mit dem FBI zu nutzen, anstatt jegliche Beteiligung an Kronos zu leugnen. Einige Mitglieder der Hacker-Community interpretierten dies jedoch als Leugnung und setzten sich lautstark für Hutchins’ Freilassung ein. ^{[ 7 ]}

Anfang 2018 nahm das FBI Verhandlungen mit Hutchins auf, da es Informationen über Vinny und einige andere ihm bekannte Hacker benötigte. Im Gegenzug bot man ihm eine Strafmilderung an. Hutchins konnte jedoch keine relevanten Informationen über Vinny liefern und wollte auch keine Informationen über die anderen Hacker preisgeben, weshalb er das Angebot ablehnte. ^{[ 7 ]} Bis Juni 2018 erweiterte das FBI die Anklage um vier weitere Anklagepunkte. Hutchins wurde von seinen Anwälten mitgeteilt, dies sei eine Reaktion auf seine Ablehnung des Angebots. ^{[ 27 ]}

Am 19. April 2019 bekannte sich Hutchins in zwei von zehn Anklagepunkten für schuldig: Verschwörung zum Betrug mittels Telekommunikation sowie Vertrieb, Verkauf, Werbung und Promotion eines Geräts zum Abfangen elektronischer Kommunikation. ^{[ 28 ]} In seiner Erklärung sagte er: „Ich bedauere diese Taten und übernehme die volle Verantwortung für meine Fehler. Ich bin erwachsener geworden und nutze die Fähigkeiten, die ich vor einigen Jahren missbraucht habe, nun für konstruktive Zwecke.“ ^{[ 29 ]} Hutchins drohten für die beiden Anklagepunkte bis zu fünf Jahre Haft und eine Geldstrafe von 250.000 US-Dollar. ^{[ 30 ]} Am 26. Juli 2019 verurteilte Richter Joseph Peter Stadtmueller Hutchins zu der bereits verbüßten Haftstrafe und einem Jahr Bewährung. Er würdigte, dass Hutchins seine Fähigkeiten bereits lange vor seiner Verurteilung von kriminellen zu wohltätigen Zwecken eingesetzt hatte. ^{[ 31 ] [ 7 ]}

Laut einem Wired- Profil aus dem Jahr 2020 erklärte Hutchins, dass er zwar lieber in Los Angeles bleiben würde, aber nach Ablauf seines Jahres unter Bewährung damit rechnete, nach Großbritannien abgeschoben zu werden, da er sein Reisevisum längst überzogen hatte . ^{[ 7 ]}