ShinyHunters: FBI nimmt weiteren Verdächtigen fest

Die US-Bundespolizei FBI hat ein weiteres mutmaßliches Mitglied der Erpressergruppe ShinyHunters festgenommen. Die Person soll an dem Angriff auf Systeme des FBI im September beteiligt gewesen sein. Das gab FBI-Direktor Kash Patel bekannt.

„Unsere Agenten haben einen weiteren mutmaßlichen Mitverschwörer der Gruppe ShinyHunters festgenommen, die für den jüngsten Vorfall bei FBIjobs.gov verantwortlich gemacht wird, der sich auf einer von einem externen Dienstleister verwalteten Plattform ereignete.”
Kash Patel, FBI-Direktor

Namen und Ort der Festnahme nannte Patel nicht. Laut New York Times handelt es sich um einen kanadischen Staatsbürger, der in Pennsylvania festgenommen wurde und als zentraler Mittäter des Einbruchs gilt. Welche Vorwürfe gegen ihn erhoben werden, ist nicht bekannt. Für ihn gilt die Unschuldsvermutung.

Zugang über PeopleSoft

ShinyHunters hatte im September angegeben, über eine angebliche Zero-Day-Lücke in Oracle PeopleSoft eingedrungen und von dort in die vom FBI verwaltete Infrastruktur in AWS GovCloud gelangt zu sein. Die Gruppe will 2 bis 3 TB Daten erbeutet haben, darunter Angaben zu aktuellen und ehemaligen Beschäftigten, Bewerbern sowie medizinische und psychiatrische Unterlagen. Datenproben bestätigten unter anderem Wohnadressen, Sozialversicherungsnummern, sensible Einsatzbereiche und Angaben zu Familienangehörigen. Laut einem internen Memo, über das die New York Times berichtet, geht das FBI davon aus, dass alle Beschäftigten betroffen sind. Das FBI führt den Vorfall auf einen Auftragnehmer zurück, der ein Sicherheitsupdate nicht eingespielt hatte.

Mehrere Festnahmen

Am 15. September hatte die niederländische Polizei in Amsterdam den 24-jährigen Pepijn van der S. festgenommen. ShinyHunters bestritt jede Verbindung zu ihm. Danach forderte das FBI die Mitglieder der Gruppe öffentlich auf, sich zu stellen. Wenige Tage später wurde in Jordanien ein mutmaßliches Mitglied mit dem Online-Namen „Rey” festgenommen, das laut Reuters mit den Ermittlern zusammenarbeitet.

Seitdem gibt es Anzeichen für Störungen innerhalb der Gruppe. Ihr wichtigster Sprecher, der regelmäßig mit BleepingComputer und anderen Medien kommunizierte, reagiert seit Ende September nicht mehr. Sein Telegram-Konto scheint gelöscht. Auch die Leak-Seite der Gruppe ging offline, später erschien jedoch eine neue. Ob das Verschwinden des Sprechers mit den Festnahmen zusammenhängt, ist unklar.

ShinyHunters wird unter anderem für Datendiebstähle bei Salesforce-Kunden, Google, Cisco und Match Group sowie für den Angriff auf die Lernplattform Instructure Canvas im Mai verantwortlich gemacht. Unter dem Namen sind seit mindestens 2018 verschiedene Täter aktiv.

(red)