Die Evolution krimineller Forenwettbewerbe: Von harmlosen Anfängen zu lukrativen Unternehmungen

Sophos X-Ops stellt in seinem neuesten Bericht mit dem Titel “For the win? Offensive Research Contests on Criminal Forums” eine Untersuchung von Forschungswettbewerben vor, die von Cyberkriminalitäts-Foren veranstaltet werden, um Innovationen im Bereich der Angriffsmethoden voranzutreiben. Diese Wettbewerbe ähneln in ihrer Struktur den "Call for Papers" legitimer Sicherheitskonferenzen und bieten den Gewinnern beträchtliche finanzielle Anreize, Anerkennung von ihren Kollegen sowie potenzielle berufliche Möglichkeiten. Die eingereichten Beiträge, die im Rahmen dieser Wettbewerbe ans Licht kommen, gewähren Cybersecurity-Experten wertvolle Einblicke in die Methoden der Cyberkriminellen und deren Herangehensweise bei der Überwindung von Sicherheitsbarrieren.

„Die Tatsache, dass Cyberkriminelle diese Wettbewerbe veranstalten, daran teilnehmen und sie sogar sponsern, legt nahe, dass es ein gemeinschaftliches Ziel gibt, ihre Taktiken und Techniken weiterzuentwickeln. Es gibt sogar Hinweise darauf, dass diese Wettbewerbe als Rekrutierungsinstrument bei prominenten Cyberkriminellen-Gruppen dienen“, sagt Christopher Budd, Direktor für Bedrohungsforschung bei Sophos.

Früher eher harmlos, heute geht es ums große Geld

Einst vergleichsweise harmlos, haben sich kriminelle Forenwettbewerbe heute zu lukrativen Unternehmungen entwickelt. Die Tradition solcher Wettbewerbe reicht bereits viele Jahre zurück, doch es ist faszinierend, wie sie im Laufe der Zeit transformiert wurden. Anfangs beschränkten sich diese Aktionen auf Quizfragen, Grafikdesign-Wettbewerbe und Ratespiele. In der heutigen Zeit werden jedoch Forenmitglieder dazu ermuntert, technische Artikel inklusive Quellcode, Videos und/oder Screenshots einzureichen. Diese Werke werden anschließend von anderen Nutzern des Forums bewertet, um den Gewinner zu ermitteln. Es sollte jedoch beachtet werden, dass die Bewertung nicht völlig transparent ist, da Forenbetreiber und Wettbewerbssponsoren anscheinend spezielle Abstimmungsprivilegien besitzen.

„Während unsere Forschungen eine verstärkte Konzentration der Cyberkriminalität auf Web-3-bezogene Themen wie Kryptowährungen und NFTs zeigt, hatten viele der siegreichen Einreichungen im Rahmen der Contests dagegen eine breitere Anwendung. Sie zeichneten sich dadurch aus, dass sie quasi umgehend einsetzbar sein würden und zudem oftmals nicht besonders innovativ waren. Dies könnte entweder die Prioritäten der Gemeinschaft offenlegen, oder auch Beleg dafür sein, dass Angreifer ihre besten Forschungsergebnisse für sich behalten wollen, um sich nicht in die Karten schauen zu lassen und ihre neuen Taktiken dann in realen Angriffen profitabel einzusetzen,“ so Christopher Budd weiter.

Sophos hat zwei Wettbewerbe genauer untersucht

Sophos X-Ops hat zwei bedeutende, jährlich stattfindende Wettbewerbe analysiert. Zum einen handelt es sich um eine Veranstaltungsreihe auf dem russischsprachigen Cyberkriminalitätsforum Exploit im Jahr 2021, bei der ein Preisgeld in Höhe von 80.000 US-Dollar ausgelobt wurde. Zum anderen wurde eine weitere Serie von Wettbewerben im sogenannten XSS-Forum im Jahr 2022 untersucht, bei der ein Preisgeld von 40.000 Dollar zur Verfügung stand. Über mehrere Jahre hinweg haben namhafte Mitglieder der Cyberkriminalitätsgemeinschaft diese Veranstaltungen finanziell unterstützt, darunter All World Cards und Lockbit.

In den neuesten Wettbewerben legte Exploit den Schwerpunkt seiner Ausschreibungen auf Kryptowährungen, während XSS sich auf eine Vielzahl von Themen erstreckte, von sozialer Manipulation und Angriffsvektoren bis hin zu Ausweichstrategien und Betrugsangeboten. Viele der Siegerbeiträge konzentrierten sich darauf, legitime Tools wie Cobalt Strike für missbräuchliche Zwecke zu nutzen. Ein Zweitplatzierter reichte ein Tutorial ein, das erklärte, wie man Initial Coin Offerings (ICOs) durchführt, um Mittel für eine neue Kryptowährung zu beschaffen, und ein weiteres Tutorial zeigte, wie man Privilegien manipuliert, um den Windows Defender zu deaktivieren.