Der kanadische Staatsbürger Ryan James Roach, 35, wurde am 28. Oktober in die Vereinigten Staaten ausgeliefert, um sich einer Bundesanklage zu stellen. Ihm wird vorgeworfen, sich mit dem in Ontario lebenden Mathiew James Stubbings, 41, verschworen zu haben, um in Universitätsnetzwerke einzudringen und Kryptowährungs-Mining-Operationen auf Hochleistungsrechnern durchzuführen. Laut dem US-Justizministerium erstreckte sich der Plan von Juni 2016 bis Dezember 2019 und zielte auf Einrichtungen in New York, Tennessee, North Carolina und Massachusetts ab.

Details des mutmaßlichen Hacks

Laut Staatsanwälten erkundeten Roach und Stubbings zunächst Sicherheitslücken in den Netzwerken von vier Universitäten, die leistungsfähige Supercomputer betreiben. Nach dem Erwerb des Zugangs installierten sie angeblich maßgeschneiderte Malware, erbeuteten Anmeldeinformationen und zwangen die Maschinen, Kryptowährungen zu ihrem eigenen Vorteil zu minen. Die Anklageschrift listet drei Vorwürfe auf: Verschwörung zum Erlangen von Informationen aus einem geschützten Computer, Erlangen von Informationen aus einem geschützten Computer und vorsätzliche Beschädigung eines geschützten Computers. Jeder dieser Vorwürfe ist mit bis zu zehn Jahren Gefängnis und einer Geldstrafe von 250.000 US-Dollar verbunden.

Technische Methoden und verwendete Kryptowährung

Dem Duo wird vorgeworfen, den Datenverkehr über virtuelle Private Server geleitet zu haben, die unter falschen Identitäten in mehreren Ländern registriert waren, wobei kompromittierte Opfermaschinen als Sprungbretter dienten, um ihre Spuren zu verwischen. Obwohl das Justizministerium die spezifische geminte Münze nicht nannte, wird in ähnlichen Cryptojacking-Fällen häufig die auf Privatsphäre ausgerichtete Monero genannt, da sie auf Standardhardware gemint werden kann und Transaktionspfade verschleiert. Kürzliche Warnungen der niederländischen Cyberbehörde hoben hervor, dass Monero-Miner über eine macOS-Screen-Sharing-Schwachstelle deployed wurden.

Breitere Sicherheitsimplikationen

Der Fall kommt zu einem Zeitpunkt, an dem die Threat Intelligence Group von Google davor warnte, dass Angreifer vom traditionellen Cryptojacking zu „LLMjacking“ übergehen, indem sie den Zugriff auf große Sprachmodelle kapern, um massive Cloud-Dienst-Rechnungen zu generieren. Die Mandiant-Einheit von Google beobachtete Vorfälle, bei denen betrügerische Gebühren an einem einzigen Tag über 100.000 US-Dollar betrugen, wobei einige Opfer bis zu 1 Million US-Dollar an Kosten verursachten, bevor der Missbrauch gestoppt wurde. Die Behörde stellt fest, dass unterirdische Dienste, die als „LLM Mixers“ bezeichnet werden, bereits gestohlenen KI-Modell-Zugriff weiterverkaufen.

Was als Nächstes zu erwarten ist