Cybercrime Spiel ohne Grenzen – Cybercrime games without frontiers

Diese Wettbewerbe ähneln den „Call for Papers“ legitimer Sicherheitskonferenzen und bieten den Gewinnern beträchtliche finanzielle Belohnungen, Anerkennung durch Kollegen sowie potenzielle Arbeitsmöglichkeiten. Die eingereichten Beiträge geben Cybersicherheitsexperten wertvolle Einblicke in die Vorgehensweisen von Cyberkriminellen und wie sie versuchen, Sicherheitshürden zu überwinden.

„Die Tatsache, dass Cyberkriminelle diese Wettbewerbe organisieren, daran teilnehmen und sie sogar sponsern, deutet darauf hin, dass es ein gemeinsames Ziel gibt, ihre Taktiken und Techniken weiterzuentwickeln. Es gibt sogar Hinweise darauf, dass diese Wettbewerbe als Rekrutierungsinstrument für prominente Cybercrime-Gruppen dienen“, sagt Christopher Budd, Director of Threat Research bei Sophos.

 Früher eher harmlos, heute geht es ums große Geld

Dass in kriminellen Foren Wettbewerbe veranstaltet werden, ist nichts Neues, diese Praxis gibt es schon seit Jahren. Interessant ist jedoch, wie sie sich im Laufe der Zeit entwickelt haben. Früher gab es Quizfragen, Grafikwettbewerbe und Ratespiele. Heute laden kriminelle Foren dazu ein, Beiträge zu technischen Themen einschließlich Quellcode, Videos und/oder Screenshots einzureichen. Die gesammelten Arbeiten werden dann von den Forennutzern bewertet und so der Sieger ermittelt.  Die Bewertung ist jedoch nicht völlig transparent, da Forenbetreiber und Sponsoren des Wettbewerbs offenbar über besondere Stimmrechte verfügen.

„Während unsere Forschungen eine verstärkte Konzentration der Cyberkriminalität auf Web-3-bezogene Themen wie Kryptowährungen oder NFTs zeigt, hatten viele der siegreichen Einreichungen im Rahmen der Contests dagegen eine breitere Anwendung. Sie zeichneten sich dadurch aus, dass sie quasi umgehend einsetzbar sein würden und zudem oftmals nicht besonders innovativ waren. Dies könnte entweder die Prioritäten der Gemeinschaft offenlegen, oder auch Beleg dafür sein, dass Angreifer ihre besten Forschungsergebnisse für sich behalten wollen, um sich nicht in die Karten schauen zu lassen und ihre neuen Taktiken dann in realen Angriffen profitabel einzusetzen,“ so Christopher Budd weiter.

Sophos hat zwei Wettbewerbe genauer untersucht

Sophos X-Ops hat zwei prominente, jährliche Wettbewerbe untersucht: zum einen eine Veranstaltungsreihe auf dem russischsprachigen Cyberkriminalitätsforum Exploit mit einer Preissumme von 80.000 US-Dollar aus dem Jahr 2021, sowie einer weiteren Serie im sogenannten XSS-Forum. Hier stand 2022 ein Preisgeld von 40.000 Dollar zur Verfügung. Seit mehreren Jahren haben prominente Mitglieder der Cyberkriminalitätsgemeinschaft diese Veranstaltungen gesponsert, darunter All World Cards und Lockbit.

In den jüngsten Wettbewerben konzentrierte Exploit seinen Ausschreibungen auf Kryptowährungen, während XSS sich auf verschiedene Themen von sozialer Manipulation und Angriffsvektoren bis hin zu Ausweichmethoden und Betrugsangeboten konzentriert hat. Viele der Gewinnerbeiträge konzentrierten sich darauf, legitime Tools wie Cobalt Strike zu missbrauchen. Ein Zweitplatzierter teilte ein Tutorial zur Ausrichtung von Initial Coin Offerings (ICOs), um Mittel für eine neue Kryptowährung zu sammeln, und ein weiteres zur Manipulation von Privilegien, um den Windows Defender zu deaktivieren.

These contests resemble the „call for papers“ of legitimate security conferences and offer winners substantial financial rewards, peer recognition, and potential job opportunities. The submissions provide cybersecurity experts with valuable insights into how cybercriminals operate and how they attempt to overcome security hurdles.

„The fact that cybercriminals are organizing, participating in, and even sponsoring these competitions suggests that there is a common goal to advance their tactics and techniques. There is even evidence that these contests serve as a recruitment tool for prominent cybercrime groups,“ said Christopher Budd, director of threat research at Sophos.

Once harmless, now big money is at stake

There is nothing new about contests being held in criminal forums, this practice has been around for years. What is interesting, however, is how they have evolved over time. In the past, there were quizzes, graphic contests and guessing games. Today, criminal forums invite submissions on technical topics including source code, videos and/or screenshots. The collected works are then rated by forum users to determine the winner.  The judging process is not completely transparent, however, as forum operators and contest sponsors appear to have special voting rights.

„While our research shows an increased focus of cybercrime on Web 3-related topics such as cryptocurrencies or NFTs, many of the winning submissions in the contests, in contrast, had broader applications. They were characterized by the fact that they would have quasi-immediate application and were also often not particularly innovative. This could either reveal the priorities of the community, or it could be evidence of attackers wanting to keep their best research results to themselves so they don’t have to show their cards and then profitably use their new tactics in real-world attacks,“ continued Christopher Budd.

Sophos took a closer look at two competitions

Sophos X-Ops looked at two prominent annual competitions: one was a series of events at the Russian-language cybercrime forum Exploit with a prize purse of $80,000 from 2021, and another series at the so-called XSS Forum. Here, prize money of $40,000 was available in 2022. For several years, prominent members of the cybercrime community have sponsored these events, including All World Cards and Lockbit.

In recent contests, Exploit has focused its solicitations on cryptocurrencies, while XSS has focused on a variety of topics from social manipulation and attack vectors to evasion methods and scam offers. Many of the winning entries focused on abusing legitimate tools like Cobalt Strike. A runner-up shared a tutorial on targeting Initial Coin Offerings (ICOs) to raise funds for a new cryptocurrency and another on manipulating privileges to disable Windows Defender.