Ransomwaregruppe 19-jähriger als mutmaßliches Scattered-Spider-Mitglied verhaftet

Anbieter zum Thema

cidaas by Widas ID GmbH

Fujitsu Technology Solutions GmbH

Onapsis Europe GmbH

Ein mutmaßlicher Angehöriger der Gruppe Scattered Spider ist nach Angaben des US-Justizministeriums von Finnland in die USA ausgeliefert worden. Ermittler nutzten Microsoft-Telemetrie, um den Beschuldigten mit Angriffsinfrastruktur und konkreten Cyberdelikten in Verbindung zu bringen.

Der 19-jährige US-estnische Doppelstaatsbürger Peter Stokes wurde im April 2026 am Flughafen Helsinki auf Grundlage eines internationalen Haftbefehls festgenommen. Nach seiner Auslieferung erschien er Ende Juni vor einem Bundesgericht in Chicago. Die Anklage wirft ihm unter anderem Verschwörung, unbefugte Computerzugriffe und Betrug vor.

In London und USA angeklagt

Zwei jugendliche Mitglieder von Scattered Spider verhaftet

GDID-Identifizierung besteht vor Gericht

Nach einem Bericht von The Register, der sich auf FBI- und Gerichtsunterlagen stützt, spielte Microsoft-Telemetrie bei der Zuordnung mutmaßlicher Aktivitäten zum Beschuldigten eine Rolle. Dabei handelt es sich um die sogenannte Global-Device-Identifier-Telemetrie (GDID), eine gerätebezogene Kennung aus der Windows-Umgebung. Ein Microsoft-Vertreter habe die GDID dem FBI gegenüber als dauerhafte Kennung auf Geräteebene beschrieben, die eine bestimmte Windows-Installation über bestimmte Microsoft-Dienste und Nutzungsszenarien hinweg wiedererkennen könne.

Die Ermittler sollen die zugehörigen Microsoft-Daten genutzt haben, um eine Windows-Installation mit Online-Aktivitäten und unter anderem einem Ngrok-Konto in Verbindung zu bringen. Laut The Register bleibt die Kennung bei regulären Windows-Updates bestehen, kann sich jedoch nach einer vollständigen Neuinstallation des Betriebssystems ändern. Die GDID sei damit kein alleiniger Schuldbeweis gewesen, sondern ein technischer Baustein der Ermittlungs- und Beweiskette, auf deren Grundlage Anklage erhoben wurde. Über die Vorwürfe entscheidet das zuständige Gericht in Chicago.

Advens Threat Status Report 2025/2026

So organisieren sich Ransomware-Gruppen

Datendiebstahl und Ransomware

Scattered Spider, auch bekannt unter Bezeichnungen wie UNC3944, Octo Tempest oder Muddled Libra, steht seit Jahren im Fokus internationaler Ermittlungen. Eine gemeinsame Warnung von FBI, CISA, NCSC-UK, kanadischen und australischen Behörden beschreibt die Gruppe als besonders aktiv gegen große Unternehmen und externe IT-Helpdesks.

Die Angreifer setzen laut Advisory vor allem auf Social Engineering: Sie geben sich als Mitarbeitende, IT-Support oder Helpdesk aus, nutzen Telefonanrufe, SMS-Phishing, MFA-Fatigue und SIM-Swapping, um Zugangsdaten oder MFA-Tokens zu erhalten. Nach einem erfolgreichen Zugang nutzen sie häufig legitime Fernwartungs- und Tunnel-Tools, um sich unauffällig im Netzwerk zu bewegen. Nach aktuellen Erkenntnissen der Behörden kombiniert Scattered Spider Datendiebstahl mit Erpressung. Die Gruppe soll Daten aus Unternehmens­um­ge­bung­en abziehen und in neueren Fällen auch DragonForce-Ransomware einsetzen. Betroffen sein können dabei unter anderem Cloud-Dienste, SharePoint-Umgebungen, VMware-Infrastruktur, Code-Repositories und Backup-Systeme.

Stokes soll laut Anklage unter anderem einen Angriff auf einen Luxusjuwelier im Mai 2025 gesteuert haben. Die Täter forderten dabei nach Angaben der Ermittler rund 7,3 Millionen Euro in Kryptowährung. Das Unternehmen zahlte dem Bericht zufolge nicht, erlitt aber Schäden von rund 1,8 Millionen Euro durch den Sicherheitsvorfall und die Wiederherstellung seiner Systeme.

FBI warnt vor Phishing-Plattform Kali365

Kali365 missbraucht legitimen Microsoft-Flow um MFA zu umgehen

(ID:50912038)