BKA enthüllt Identität von Trickbot-Anführer

Der Anführer der berüchtigten russischen Cybercrime-Gruppe Trickbot, die seit mindestens 2016 weltweit massive Schäden anrichtet, wurde enttarnt: Vitalii Nikolaevich Kovalev, auch bekannt unter dem Pseudonym „Stern“, soll der Kopf der Bande sein, die auch unter dem Namen Wizard Spider bekannt ist.

Verantwortlich für die Enthüllung ist das deutsche Bundeskriminalamt (BKA), wie am 31. Mai bekannt gegeben wurde. Kovalev wird verdächtigt, unter mehreren Decknamen wie „Stern“, „Ben“ und „Bentley“ agiert zu haben. Trotz intensiver internationaler Ermittlungen und Sanktionen, unter anderem durch die USA und das Vereinigte Königreich im Jahr 2023, blieb seine Identität lange Zeit ein Geheimnis.

Weltweite Schadsoftware-Bedrohung

Trickbot erlangte unter anderem dadurch Berühmtheit, dass sie weltweit Hunderttausende Computersysteme infizierten. Hierzu gehörten

• Krankenhäuser,
• öffentliche Einrichtungen,
• Unternehmen und
• Behörden.

Im Rahmen ihrer Machenschaften erbeuteten sie dabei illegale Gelder in dreistelliger Millionenhöhe. Allein in Deutschland entstand ein Schaden von mindestens 6,8 Millionen Euro. Hierbei stahl Trickbot sensible Daten und verschlüsselte Systeme mit Ransomware, um Lösegeld in Kryptowährungen zu erpressen. Eine Attacke richtete sich 2020 gezielt gegen 428 Krankenhäuser in den USA, wie interne Nachrichten belegen.

Chats belegen zentrale Entscheidungsrolle

Interne Chat-Leaks aus den Jahren 2022, bekannt als „Trickbotleaks“ und „ContiLeaks“, offenbarten die Strukturen und das tägliche Geschäft der Gruppe. Dadurch wurde ersichtlich, dass Trickbot hochgradig organisiert und hierarchisch mit zeitweise über 100 Mitgliedern organsiert war, die verschiedene Schadsoftware-Varianten einsetzten.

Diese Chats zeigten auch, dass Kovalev als „CEO“ fungierte und von anderen Mitgliedern vor Angriffen um Zustimmung gebeten wurde. Die Ermittlungen gegen den Russen basieren auf der Analyse dieser durchgesickerten Chat-Daten. Auch Malware-Untersuchungen und internationale Kooperationen im Rahmen der Operation Endgame, die sich gegen die Infrastruktur der Cyberkriminellen richtet, spielten eine Rolle.

Gemeinsame kriminelle Infrastruktur

Im Rahmen dieser Auswertung, wurde auch ersichtlich, welche Ransomware die Kriminellen einsetzen. Zu den verwendeten Malware-Tools zählen, neben Trickbot selbst,

• Bazarloader,
• SystemBC,
• IcedID,
• Ryuk,
• Conti und
• Diavol.

Die enge Verzahnung von Trickbot mit der Conti-Ransomware-Bande führte zusätzlich zu einer gemeinsamen kriminellen Infrastruktur. Diese Verbindung unterstütze auch politisch motivierte Aktionen, etwa durch eine Pro-Russland-Erklärung von Conti während des Ukraine-Kriegs.

Trickbot als Vorbild moderner Cyberkriminalität

Experten sehen in Kovalev und der Trickbot-Gruppe einen Meilenstein der Professionalisierung in der russischen Cyberkriminalität. Die von ihm geschaffene Struktur und das Geschäftsmodell dienten als Vorlage für viele nachfolgende kriminelle Organisationen im Dark Web.

Zudem wird vermutet, dass Kovalev Verbindungen zum russischen Geheimdienst FSB unterhält. Das würde erklären, warum er trotz internationaler Fahndung lange unentdeckt bleiben konnte.

Behörden erbitten Hinweise

Kovalev wird aktuell in Deutschland und international als Rädelsführer einer kriminellen Vereinigung gesucht. Sein Aufenthaltsort ist unbekannt, es wird jedoch angenommen, dass er sich in Russland aufhält, was eine Auslieferung erschwert. Die Strafverfolgungsbehörden bitten um Hinweise auf seine aktuellen Online-Konten oder Kommunikationswege, um ihn festzunehmen.