Entwickler: 32 Monate Haft für Erpressung des eigenen Arbeitgebers

Ein ehemaliger Core-Infrastructure-Engineer eines Industrieunternehmens mit Sitz im US-Bundesstaat New Jersey ist zu 32 Monaten Haft verurteilt worden. Der 57-jährige Daniel Rhyne aus Kansas City, Missouri, hatte im November 2023 tausende Geräte im Netzwerk seines Arbeitgebers gesperrt und eine Lösegeldforderung gestellt. Er war im August 2024 festgenommen worden und hatte sich schuldig bekannt.

Geplante Aufgaben auf dem Domänencontroller

Laut Gerichtsunterlagen griff Rhyne zwischen dem 8. und dem 25. November 2023 ohne Berechtigung über ein Administratorkonto aus der Ferne auf das Firmennetz zu. Auf dem Domänencontroller richtete er geplante Aufgaben ein. Diese änderten das Passwort des Administratorkontos, löschten 13 Domänenadministratorkonten und setzten die Passwörter von 301 Domänenbenutzerkonten zurück.

Über weitere geplante Aufgaben änderte er die Passwörter zweier lokaler Administratorkonten und sperrte damit den Zugriff auf 254 Server. Durch die Änderung zweier weiterer Administratorkonten verloren die Administratoren zudem den Zugriff auf 3.284 Arbeitsplatzrechner. Über mehrere Tage fuhr er außerdem zufällig ausgewählte Server und Arbeitsplatzrechner herunter.

„Kurz darauf stellten die Netzwerkadministratoren von Opfer-1 fest, dass alle anderen Domänenadministratorkonten gelöscht worden waren, wodurch ihnen der Administratorzugriff auf die Computernetzwerke von Opfer-1 verwehrt wurde“, heißt es in der Strafanzeige.

Entwickler: Drohung mit Abschaltung von 40 Servern täglich

Am 25. November 2023 schickte Rhyne Kollegen eine E-Mail mit dem Betreff „Your Network Has Been Penetrated“. Darin behauptete er, auch die Server-Backups seien gelöscht worden, um eine Wiederherstellung unmöglich zu machen. Er drohte, zehn Tage lang täglich 40 zufällig ausgewählte Server abzuschalten, sollte das Unternehmen nicht 20 Bitcoin zahlen, damals rund 750.000 US-Dollar.

Suchanfragen überführten ihn

Ermittler stellten fest, dass Rhyne am 22. November über ein Konto auf einer versteckten virtuellen Maschine im Web nach Anleitungen gesucht hatte, wie sich Domänenpasswörter ändern, Domänenkonten löschen und Windows-Protokolle bereinigen lassen. Eine Woche zuvor hatte er auf seinem Laptop unter anderem nach Befehlen gesucht, um lokale Administratorpasswörter aus der Ferne zu ändern und Rechner per Kommandozeile herunterzufahren.

Im März war bereits der 27-jährige Datenanalyst Cameron Curry aus North Carolina zu zwei Jahren Haft verurteilt worden. Er hatte als externer Dienstleister seinen Auftraggeber Brightly Software um 2,5 Millionen Dollar erpresst.

(red)