Die Cyber-Polizei schlägt zu
Internationale Strafverfolgungsbehörden haben mit der Operation Ramz ein globales Netzwerk zerschlagen, das sich auf den Diebstahl digitaler Identitäten spezialisiert hatte. Die koordinierte Aktion unter Führung von Interpol führte zur Festnahme von über 200 Verdächtigen in mehreren Jurisdiktionen.
Die Ermittlungen konzentrierten sich auf organisierte Strukturen, die Phishing-Betrug, Malware-Angriffe und den gezielten Zugriff auf geschützte Datenbanken koordinierten. Diese Gruppen agierten über Jahre hinweg grenzüberschreitend und nutzten kryptografische Verschleierungstechniken, um ihre Serverstandorte zu verbergen.
Die Operation dauerte 18 Monate. Beamte aus Europa, Asien und Nordamerika arbeiteten dabei in einer gemeinsamen Taskforce zusammen, um die Infrastruktur der Täter zu lokalisieren.
Was die Ermittler fanden
Bei den Durchsuchungen beschlagnahmte die Polizei Server, Hardware-Wallets und verschlüsselte Datenträger in zweistelliger Terabyte-Größe. Die Täter nutzten automatisierte Skripte, um Konten auf Plattformen wie Steam oder Epic Games Store zu kompromittieren.
Die kriminellen Netzwerke griffen dabei auf folgende Methoden zurück:
- Massenhafter Abgriff von Login-Daten durch gefälschte Phishing-Seiten, die optisch exakte Kopien von Battle.net oder Ubisoft Connect darstellten.
- Diebstahl und anschließender Weiterverkauf von In-Game-Items in sekundären Marktplätzen, um die Herkunft des digitalen Guts zu verschleiern.
- Nutzung von Botnetzen, die durch Schadsoftware auf Gaming-PCs installiert wurden, um DDoS-Attacken auf Serverstrukturen zu fahren.
Die Ermittler stellten fest, dass Teile der Malware-Infrastruktur auf modifizierten Versionen von Remote Access Trojans (RATs) basieren. Diese Werkzeuge sind seit Jahren im Untergrund unter Namen wie NjRAT oder AsyncRAT bekannt und werden dort als Service für Kriminelle angeboten.
Die Auswirkungen auf die digitale Sicherheit
Durch die Abschaltung der zentralen Kontrollserver (Command-and-Control-Server) brach die Kommunikation innerhalb der Botnetze zusammen. Die Behörden sicherten Finanzdaten, die den Geldfluss von den Opfern über Krypto-Börsen zu den Hintermännern nachvollziehbar machen.
Die Ergebnisse der Razzia im Überblick:
- Über 200 Haftbefehle wurden in 14 Ländern vollstreckt.
- Etwa 12 Millionen Euro an illegal erwirtschafteten Vermögenswerten wurden auf Krypto-Konten eingefroren.
- Die Behörden identifizierten eine neue Variante der Ransomware-as-a-Service (RaaS), die speziell auf die Verschlüsselung von privaten Spielständen und Nutzerdaten abzielt.
Im Branchenvergleich steht Operation Ramz in einer Reihe mit früheren Erfolgen wie der Operation Cookie Monster, bei der der illegale Marktplatz Genesis Market geschlossen wurde. Solche Aktionen zielen primär auf die Dienstleister der Kriminalität ab, die den Zugang zu Schadsoftware verkaufen.
Hintergrund der Bedrohungsakteure
Die hinter Operation Ramz identifizierten Gruppen operierten oft als lose organisierte Kollektive. Diese Netzwerke ähneln in ihrer Hierarchie klassischen Unternehmen, in denen Spezialisten für Softwareentwicklung, Geldwäsche und Social Engineering zusammenarbeiten.
Die Spuren führen in Regionen mit geringer regulatorischer Kontrolle für IT-Dienstleistungen. Viele der verwendeten Server-Infrastrukturen waren bei Anbietern gehostet, die ihre Serverstandorte in Ländern mit schwacher Kooperation bei internationalen Rechtshilfeersuchen betreiben.
Vergangene Ermittlungen gegen Gruppen wie Lapsus$ oder die Betreiber von Emotet zeigten ähnliche Muster. Die Täter nutzen häufig bereits existierende Sicherheitslücken in populärer Software, statt eigene Schwachstellen zu entwickeln.
Schutzmaßnahmen für Gamer
Der Schutz digitaler Identitäten erfordert heute mehr als nur komplexe Passwörter. Kriminelle setzen vermehrt auf Session-Token-Diebstahl, der die klassische Passwortsperre umgeht.
- Aktiviert die Zwei-Faktor-Authentifizierung (2FA) zwingend über mobile Apps wie Google Authenticator oder Authy, statt SMS-Codes zu verwenden.
- Überprüft bei jeder Anmeldung die URL im Browser, da exakte Kopien von Steam oder Epic Games oft nur an subtilen Schreibfehlern in der Adresszeile erkennbar sind.
- Deaktiviert in den Windows-Einstellungen die Ausführung von Skripten aus unbekannten Quellen, um eine Infektion durch Backdoor-Software zu verhindern.
Die internationale Zusammenarbeit der Polizeibehörden bleibt die einzige Möglichkeit, die technische Überlegenheit der Angreifer auszugleichen. Interpol plant den nächsten Schritt in Form einer Datenbank, die betroffenen Nutzern ermöglicht, ihre im Zuge der Razzia sichergestellten Zugangsdaten zurückzufordern.
