Windows 11 verrät junges Mitglied berüchtigter Ransomware-Bande

US-Behörden haben gemeinsam mit der finnischen Polizei einen mutmaßlichen Angehörigen der berüchtigten Ransomware-Gruppe Scattered Spider festgenommen. Zu dessen Identifizierung trug die eindeutige Kennung seiner Windows-11-Installation bei.

Windows-Telemetrie im Fokus

Bei dem Verdächtigen handelt es sich um einen 19-jährigen Doppelstaatsbürger (USA/Estland). Dieser wurde am Flughafen Helsinki kurz vor dem Abflug nach Japan verhaftet, berichtete das US-Magazin Toms Hardware. Gegen ihn wurdwerdenen unter anderem Anklagen wegen Verschwörung, unerlaubter Computereingriffe und Betrugs erhoben. Er befindet sich bereits in den USA in Untersuchungshaft.

Eine wichtige Rolle bei dem Fahndungserfolg spielte Microsoft. Das Unternehmen stellte dem FBI Daten seines sogenannten Global Device Identifiers (GDID) zur Verfügung. Dabei handelt es sich um eine eindeutige Kennung von Windows-Installationen, die gerätespezifische Telemetriedaten erfasst. Ermittler konnten dadurch offenbar Online-Aktivitäten, verwendete Werkzeuge, IP-Adressen und Aufenthaltsorte mit dem mutmaßlichen Täter in Verbindung bringen.


Die Nutzung dieser Daten wirft allerdings auch Fragen zum Umfang der von Microsoft gesammelten Telemetrieinformationen auf. Datenschützer kritisieren seit Jahren, dass Windows umfangreiche Nutzungsdaten erfasst. Im vorliegenden Fall halfen die Informationen den Ermittlern zwar bei der Aufklärung eines schweren Cyberverbrechens, gleichzeitig dürfte die Affäre die Debatte über Datenschutz und digitale Überwachung weiter anheizen.

Bei seiner Festnahme soll der Beschuldigte zwei Festplatten mit belastendem Material bei sich getragen haben. Nach Angaben des US-Justizministeriums zählt Scattered Spider zu den weltweit bedeutendsten Cybercrime-Netzwerken. Die Gruppe, die auch unter den Bezeichnungen Octo Tempest, UNC3944 und Oktapus bekannt ist, soll durch Erpressungen bereits mehr als 100 Millionen Dollar eingenommen haben. Besonders berüchtigt sind ihre Methoden des Social Engineering, bei denen Angreifer Mitarbeiter gezielt täuschen, um Zugang zu IT-Systemen zu erhalten.

Angriff auf Juwelier

Im Mittelpunkt der Vorwürfe gegen den in Finnland verhafteten Mann steht ein Angriff auf einen US-amerikanischen Luxusjuwelier im Mai 2025. Die Täter sollen die IT-Hotline des Unternehmens angerufen und sich mithilfe von Google Voice als Beschäftigte ausgegeben haben. Nach erfolgreicher Täuschung wurden Zugangsdaten zurückgesetzt, wodurch die Angreifer Zugriff auf drei Benutzerkonten erhielten, darunter zwei mit Administratorrechten. Anschließend sollen sie sensible Unternehmensdaten entwendet und eine Lösegeldforderung von acht Millionen US-Dollar in Kryptowährungen gestellt haben.

Zwar gelang es dem betroffenen Unternehmen, die Kontrolle über seine Systeme zurückzuerlangen und die Zahlung des Lösegelds zu vermeiden. Dennoch entstanden laut Ermittlern Schäden und Betriebsunterbrechungen in Höhe von rund zwei Millionen Dollar. Die Untersuchung des Vorfalls führte schließlich zu den Spuren, die nach Helsinki und zu dem nun gefassten Beschuldigten führten.


Siehe auch: