Gerichtsverfahren: Mildes Urteil für Mirai-Entwickler

Im Gerichtsverfahren um das Mirai-Botnetzwerk haben sich im Dezember drei US-Studenten schuldig bekannt. Am 18. September 2018 ist das Urteil gefallen: Das Trio wurde zu einer fünfjährigen Bewährungsstrafe, 2.500 Sozialstunden und 127.000 US-Dollar Strafzahlung verurteilt. Der Bundesrichter in Alaska kam mit dem Urteil dem Wunsch der Staatsanwaltschaft, des FBIs und der drei Angeklagten nach einer Bewährungsstrafe mit Sozialstunden beim FBI entgegen. Die Verurteilten, Josiah White, Paras Jha und Dalton Norman , arbeiten bereits seit 18 Monaten intensiv mit dem FBI zusammen und erhofften sich hierdurch ein mildes Urteil.

Bei einer Höchststrafe von fünf Jahren Freiheitsentzug und einer Zahlung von 250.000 Dollar ist das zur Bewährung ausgesetzte Urteil erstaunlich milde für die US-Rechtsprechung im Bereich Cybercrime. Ursprünglich empfahl ein Bewährungshelfer dem Gericht, die Strafe auf fünf Jahre zur Bewährung sowie 200 Sozialstunden festzusetzen. Das Gericht griff den Vorschlag auf, verurteilte die Studenten allerdings zusätzlich zu der Strafzahlung von 127.000 Dollar und erhöhte die Anzahl der Sozialstunden wie von der Staatsanwaltschaft gefordert. Brisant ist die Verpflichtung zur weiteren Zusammenarbeit mit dem FBI, bei dem möglicherweise auch die Sozialstunden abgeleistet werden können: "Teil des Urteils ist die weitere Zusammenarbeit zwischen Jha, White und Norman und dem FBI in Fragen des Cybercrimes und der Cybersicherheit", teilte das Gericht mit.

Insgesamt haben die Mirai-Entwickler bereits über 1.000 Stunden für das FBI gearbeitet. White, Jha und Norman unterstützten das FBI dabei, Botnetze zu finden und die betroffenen Rechner von Schadsoftware zu befreien. Im März halfen sie dabei, DDoS-Angriffe (Distributed Denial of Service) zu stoppen, die mit Hilfe von fehlerhaft konfigurierten Memcached-Servern erfolgten. Von den Angriffen waren unter anderem Github und der DNS-Anbieter Dyn betroffen. Sie erreichten ein Volumen von bis zu 1,2 Terabit/s. Die US-Studenten halfen bei der Suche nach verwundbaren Servern, deren Betreiber anschließend durch das FBI kontaktiert wurden. Auch in der klassischen DDoS-Zeit um Weihnachten arbeiteten die drei im Dezember 2017 mit dem FBI zusammen, um die Angriffe einzudämmen.

Das Trio trug zudem zur Identifizierung von Hackern bei, stellte sicher, dass eine Zielperson ihren Computer während einer Durchsuchung verwendete, schrieb eine Software, mit der sich Geldströme von Kryptowährungen verfolgen lassen, und war an internationalen Ermittlungen beteiligt.

Zusammenarbeit mit dem FBI zur Strafmilderung

Das FBI arbeitet öfter mit überführten Straftätern zusammen, nutzt Hacker als Quellen oder lässt sie aktiv bei Operationen mitarbeiten. Namen, Informationen und Tools gegen Strafmilderung sind ein klassisches Tauschgeschäft.

Berühmtheit erlangte der Fall des ehemaligen Lulzsec-Hackers Hector Xavier Monsegur alias Sabu. Er arbeitete nach seiner Festnahme mit dem FBI zusammen, verriet seine Lulzsec-Mitstreiter, stiftete Hacker zu Einbrüchen in Computersysteme an und forderte sie dazu auf, diese mit Logfiles zu beweisen. Das FBI nutzte diese Informationen anschließend für seine Ermittlungen. Sabus Zusammenarbeit mit dem FBI führte zur Verhaftung und Verurteilung von mindestens acht Hacktivisten. Darunter befindet sich Jeremy Hammond, der das US-Sicherheitsunternehmen Stratfor, das auch als Schatten-CIA bezeichnet wird, gehackt hat und interne Informationen von Wikileaks veröffentlichen ließ. Jeremy Hammond wurde zu zehn Jahren Haft verurteilt.

Sabu und das FBI sollen Hacker dazu angestiftet haben, syrische Computersysteme zu knacken und Informationen abzuziehen. Durch seine "vorbildliche und effektive" Kooperation mit dem FBI wurde Hector Xavier Monsegur alias Sabu zu nur sieben Monaten Haft verurteilt. Die Höchststrafe wären 317 Monate Haft gewesen. Wie frei die Entscheidung der einzelnen überführten Hacker schlussendlich ist und wie viel Druck das FBI ausübt, ist unbekannt.

Das Mirai Botnetzwerk

Ziel der Mirai-Entwickler war es ursprünglich, konkurrierende Minecraft-Server mittels DDoS-Attacken auszuschalten. Dabei wird ein Server mit extrem vielen Anfragen überhäuft, bis er unter der Last der Anfragen zusammenbricht. Das zu Microsoft gehörende Spiel Minecraft erlaubt den Betrieb eigener Server. Mit diesen kann via Micropayments Geld verdient werden, bei erfolgreichen Servern bis zu 100.000 Dollar im Monat.

Das Mirai-Botnetzwerk bestand vor allem aus IoT-Geräten (Internet of Things), beispielsweise mit dem Internet verbundenen Überwachungskameras. Diese Geräte sind oft schlecht geschützt, Standardpasswörter werden nicht geändert, Sicherheitslücken nicht gepatcht oder Updates nicht eingespielt. Den Fakt machte sich Mirai zunutze und scannte IP-Adressen auf verwundbare Geräte und übernahm diese. Die immer größer werdende Anzahl an IoT-Geräten vergrößerte auch das Botnetzwerk immens. Die Mirai-Entwickler planten, ihr Botnetzwerk zu vermarkten: Sie wollten DDoS-as-a-Service anbieten und Schutzgeld erpressen.

Ein erstes Opfer war der Hosting-Anbieter OVH im September 2016, der mit 1,5 Terabit Anfragen von über 145.000 Überwachungskameras und anderen IoT-Geräten bombardiert wurde. DDoS-Angriffe spielten sich bis zu diesem Zeitpunkt in der Größenordnung von 10 bis 20 Gigabit pro Sekunde ab.

Kurze Zeit später veröffentlichten die damals 18- bis 20-Jährigen den Mirai-Quellcode - eine klassische Strategie, damit im Falle einer Verhaftung oder Durchsuchung, nur öffentlich zugänglicher Code gefunden wird und hierdurch eine Urheberschaft schwer nachgewiesen werden kann. Der Mirai-Code wurde anschließend von anderen modifiziert und für Angriffe benutzt. Im Herbst 2016 war das Internet an der Ostküste der USA durch solche Attacken nahezu unbenutzbar.

Nachtrag vom 20. September 2018, 11:15 Uhr

Im Artikel hieß es ursprünglich irrtümlich, das Urteil werde am 25. September 2018 verkündet. Es ist jedoch bereits am 18. September 2018 gefallen. Der Artikel wurde entsprechend angepasst. Wir bitten, den Fehler zu entschuldigen.