Scattered Spider: Microsofts GDID half bei der Identifizierung eines Verdächtigen. So rücken Bedenken zur Windows‑Telemetrie erneut in Fokus.
Ein mutmaßliches Mitglied der Hackergruppe Scattered Spider sitzt nach seiner Festnahme in Finnland und nach seiner Überstellung in die USA in Untersuchungshaft. Microsoft soll dem FBI umfangreiche Telemetriedaten geliefert haben, die für die Ermittlungen eine entscheidende Rolle spielten. Hat Windows seinen Nutzer am Ende selbst verraten?
Scattered Spider gilt seit Jahren als eine der gefährlichsten Cybercrime-Gruppen weltweit. Mit Social Engineering, Ransomware und millionenschweren Erpressungen sorgte die lose organisierte Group wiederholt für Schlagzeilen. Nun haben US-Behörden einen weiteren mutmaßlichen Akteur aus dem Umfeld der Gruppierung festgenommen. In diesem Fall sorgte nicht nur die Festnahmen an sich für Aufmerksamkeit. Laut Gerichtsunterlagen und Medienberichten hätte Microsofts Windows-Telemetrie maßgeblich dazu beigetragen, den Verdächtigen zu identifizieren.
Wie auch vx-underground auf X hinwies, übermittelte Microsoft dem FBI unter anderem Daten des Global Device Identifier (GDID). Diese eindeutige Kennung ist jeder Windows-Installation zugeordnet und bleibt bestehen, solange das Betriebssystem nicht neu installiert wird.
Mutmaßliches Scattered-Spider-Mitglied nach Auslieferung angeklagt
Das US-Justizministerium hat Anklage gegen den 19-jährigen Peter Stokes erhoben, der sowohl die US-amerikanische als auch die estnische Staatsbürgerschaft besitzt. Finnische Behörden nahmen ihn bereits im April aufgrund einer Interpol Red Notice fest. Nach seiner Auslieferung erschien er Ende Juni vor einem Bundesgericht in Chicago.
Die Ermittler werfen ihm Verschwörung, Computerbetrug und unbefugtes Eindringen in Computersysteme vor. Nach Angaben der Staatsanwaltschaft soll Stokes Mitglied von Scattered Spider gewesen sein, einer Hackergruppe, die auch unter den Bezeichnungen Octo Tempest, UNC3944 oder 0ktapus bekannt ist.
Den Ermittlern zufolge war das Cybercrime-Kollektiv an mehr als 100 erfolgreichen Netzwerkangriffen beteiligt. Die Lösegeldforderungen sollen sich auf über 100 Millionen US-Dollar summiert haben. Hinzu kommen Schäden in Millionenhöhe durch Betriebsunterbrechungen und aufwendige Wiederherstellungsmaßnahmen bei den betroffenen Unternehmen.
Luxusjuwelier sollte acht Millionen Dollar zahlen
Im Mittelpunkt der Anklage steht ein Angriff auf einen US-amerikanischen Luxusjuwelier im Mai 2025. Die Angreifer verschafften sich durch einen klassischen Social-Engineering-Angriff Zugriff auf mehrere Mitarbeiterkonten. Dabei gaben sie sich telefonisch gegenüber dem IT-Helpdesk als legitime Beschäftigte aus und ließen Passwörter zurücksetzen. Anschließend kompromittierten sie mehrere privilegierte Konten, entwendeten Unternehmensdaten und forderten rund acht Millionen US-Dollar in Kryptowährungen.
Zwar gelang es dem Unternehmen, die Eindringlinge rechtzeitig aus dem Netzwerk zu entfernen, bevor Lösegeld gezahlt wurde. Dennoch entstanden laut Anklage Schäden von mindestens zwei Millionen Dollar durch Produktionsausfälle, forensische Untersuchungen und umfangreiche Sicherheitsmaßnahmen.
Microsoft-Telemetrie brachte die Ermittler auf die richtige Spur
Wie unter anderem Tom’s Hardware berichtet, half ein von Microsoft gelieferter Global Device Identifier (GDID) dabei, Aktivitäten derselben Windows‑Installation zu korrelieren und Peter Stokes zuzuordnen. Der GDID ist eine eindeutige Kennung einer Windows‑Installation. Microsoft stellte dazu Protokolle mit IP‑Adressen, Zeitstempeln und zugehörigen Account‑Zugriffen bereit.
Diese Korrelationen ermöglichten es dem FBI, fallrelevante Online‑Aktivitäten einer bestimmten Windows‑Installation zusammenzuführen, dem Beschuldigten zuzuordnen und Aufenthaltsorte einzugrenzen. Bei der Festnahme sicherten die finnischen Behörden zudem zwei Festplatten, die mutmaßlich belastendes Material enthielten.
Scattered Spider – eine der gefährlichsten Hackergruppen
Die mutmaßliche Erpresserbande zählt weiterhin zu den aktivsten Akteuren im Bereich der finanziell motivierten Cyberkriminalität. Anders als klassische Ransomware-Gruppen setzt Scattered Spider weniger auf Sicherheitslücken als auf ausgefeilte Social-Engineering-Methoden.
Zu den bevorzugten Angriffstechniken gehören Helpdesk-Betrug, Phishing-Kampagnen und sogenannte MFA-Fatigue-Angriffe, bei denen Nutzer so lange mit Anmeldeanfragen bombardiert werden, bis sie eine Freigabe versehentlich bestätigen. Danach installieren die Täter Ransomware oder stehlen sensible Unternehmensdaten, um ihre Opfer zu erpressen. Die Gruppe wird außerdem mit mehreren spektakulären Angriffen auf internationale Unternehmen sowie Ermittlungen in Großbritannien und den USA in Verbindung gebracht.
Windows‑Telemetrie erneut im Fokus der Datenschutzdebatte
Die aktuellen Berichte befeuern erneut die Diskussion über Umfang und Transparenz der von Windows erhobenen Diagnosen‑ und Telemetriedaten. Behörden und Datenschützer prüfen und kritisieren schon seit Jahren, dass Microsoft zahlreiche Informationen über Geräte sammelt, als vielen Nutzern bewusst ist, etwa in der BSI‑Analyse SiSyPHuS Windows 10 (AP4), die Datenflüsse und Risiken detailliert beschreibt.
Dass Ermittlungsbehörden bei schweren Straftaten wie bei Scattered Spider auf richterliche Anordnungen und die Kooperation großer Technologieunternehmen zurückgreifen, ist grundsätzlich nichts Neues. Die nun bekannt gewordenen Details zeigen jedoch, wie umfassend digitale Geräte nachvollziehbare Spuren hinterlassen.
