Russland nimmt Verdächtige fest, Meduza Stealer entwickelt zu haben, eine der fortschrittlichsten Malware im Dark Web

Drei Personen wurden in Moskau (Russland) festgenommen, weil sie verdächtigt wurden, die Urheber und Hauptbetreiber von Meduza Stealer zu sein, einer hochentwickelten Malware, die auf Informationsdiebstahl spezialisiert ist. Die Information wurde von Polizeigeneral und Sprecherin des russischen Innenministeriums, Irina Volk, in einer offiziellen Ankündigung in den sozialen Medien bestätigt. Die koordinierte Aktion wurde von der Abteilung zur Bekämpfung der Cyberkriminalität (UBK) des Innenministeriums gemeinsam mit Polizeibeamten aus der Region Astrachan geleitet.

Den Inhaftierten wird vorgeworfen, etwa zwei Jahre lang Schadsoftware entwickelt und verbreitet zu haben und aktiv in Foren zu illegalen Aktivitäten tätig zu sein. Die Untersuchung zeigt, dass neben Meduza auch dieselbe Gruppe hinter Botnet-Software steckt, mit der Sicherheitsmaßnahmen auf Zielsystemen deaktiviert werden.

Der Polizeieinsatz ist eine direkte Reaktion auf einen Angriff im Mai auf eine Einrichtung in Astrachan im Süden des Landes, bei dem vertrauliche Daten von Servern gestohlen wurden.

Was ist ein Infostealer und das Meduza-Geschäftsmodell

Meduza wird als Infostealer eingestuft, eine Art Schadsoftware, die dazu dient, sensible Daten von Opfern zu sammeln und zu übertragen. Das Hauptaugenmerk des Virus liegt auf dem Diebstahl von Kontoanmeldeinformationen, Kryptowährungs-Wallet-Daten und in Webbrowsern gespeicherten Informationen zum automatischen Ausfüllen.

Diese Malware wurde im Format Malware-as-a-Service (MaaS) verbreitet, einem wiederkehrenden Abonnementmodell, das im Dark Web üblich ist. Über MaaS zahlten Kriminelle für die Nutzung des Tools, was die Nutzung erleichterteseine Verbreitung.

Erweiterte technische Fähigkeiten der Malware

Cybersicherheitsforscher, die den Infostealer-Markt überwachen, bezeichnen Meduza als eines der technisch fortschrittlichsten auf dem Markt. Eine der bemerkenswertesten Funktionen, die im Dezember 2023 identifiziert wurde, war die Möglichkeit, abgelaufene Authentifizierungscookies im Google Chrome-Browser „wiederzubeleben“.

Diese hochentwickelte Technik ermöglichte es Malware-Betreibern, die Notwendigkeit von Passwörtern oder Multi-Faktor-Authentifizierungscodes zu umgehen, um die volle Kontrolle über die Konten der Opfer zu erlangen, was das Schadenspotenzial drastisch erhöhte.

Untersuchungen deuten auf einen Zusammenhang mit anderer Malware und der Zukunft des Betriebs hin

Die von den russischen Behörden durchgeführten Ermittlungen deuten darauf hin, dass die inhaftierte Gruppe auch an der Erstellung und Verbreitung von Aurora Stealer beteiligt sein könnte. Letzteres ist eine weitere Malware im MaaS-Modell, die im Jahr 2021 auf dem Cyberkriminalitätsmarkt an Bedeutung gewonnen hat.

• Bei den Durchsuchungen beschlagnahmten die Behörden Computer- und Kommunikationsgeräte, Bankkarten und anderesGegenstände, von denen angenommen wird, dass sie einen Beweiswert haben.
• Die drei Verdächtigen werden gemäß Artikel 273 des russischen Strafgesetzbuchs strafrechtlich verfolgt, der sich mit der „Erstellung, Nutzung und Verbreitung bösartiger Computerprogramme“ befasst.

Die Aktion in Astrachan führte zur Eröffnung eines Strafverfahrens

Der konkrete Angriff auf eine Institution in der Region Astrachan, der im Diebstahl vertraulicher Daten gipfelte, war Ausgangspunkt für die Eröffnung eines Strafverfahrens gegen die Gruppe. Die Behörden konzentrierten sich nach der Razzia auf die Identifizierung und Verfolgung der verantwortlichen Personen.

Das russische Innenministerium hat angegeben, dass in naher Zukunft weitere Operationen geplant sind. Ziel ist es, alle Mitglieder des kriminellen Netzwerks zu kartieren und zu identifizieren, die in irgendeiner Weise mit der Entwicklung oder Verbreitung von Meduza und anderer Software in Verbindung stehen.