bk99.de entertain the web since 1997

bk99.de
KrebsOnSecurity · SicherheitKuratiert

Wer war Anna-Senpai? Die Spur hinter Mirai

Zusammenfassung

Brian Krebs legt im bis dahin längsten Beitrag des Blogs offen, wie sich der Mirai-Autor Anna-Senpai über Forenprofile, Chats, Quellcode und Geschäftsbeziehungen mit Paras Jha in Verbindung bringen ließ. Die Spur führt durch einen Markt, in dem dieselben jungen Leute DDoS-Schutz für Minecraft-Server verkauften und zugleich mit Botnetzen angriffen. Im Dezember 2017 bekannten sich Paras Jha, Josiah White und Dalton Norman vor einem US-Bundesgericht schuldig.

Wie die Zuordnung zustande kam

Den Anfang machte eine Liste von Programmiersprachen. Paras Jha nannte auf LinkedIn C#, Java, Golang, C, C++, PHP und x86-Assembler. Anna-Senpai bewarb sich im Juli 2016 auf Hackforums bei einer Gruppe mit ASM, C, Go, Java, C# und PHP. Laut Incapsula war die Mirai-Steuerung in Go geschrieben, der Code auf den Geräten in C.

Weitere Bausteine kamen hinzu: Jha veröffentlichte Code unter dem Handle dreadiscool, und ein gleichnamiges Konto auf MyAnimeList führt die Serie Mirai Nikki, nach der Anna-Senpai das Botnetz laut eigenem Chat benannte. Code aus Mirai ähnelte Code im GitHub-Konto dreadiscool. Den Quellcode veröffentlichte Anna-Senpai über eine Domain bei Namecentral, einem Registrar, von dem laut Ammar Zuberi nur fünf Personen wussten.

Ein Markt, der Angriff und Schutz zugleich verkauft

Ein großer Minecraft-Server kann laut Krebs mehr als 50.000 US-Dollar im Monat einbringen. Wer einen Konkurrenten lahmlegt, gewinnt dessen Spieler. Anna-Senpai griff den Server Hypixel im September 2016 alle 20 Minuten für 45 Sekunden an, gerade lange genug, um alle Spieler hinauszuwerfen. Robert Coelho von ProxyPipe schätzt den Schaden für ProxyPipe durch Mirai auf 400.000 bis 500.000 US-Dollar.

Mirai entfernte konkurrierende Qbot-Infektionen von den Geräten, und Anna-Senpai meldete Qbot-Steuerserver per Abuse-Beschwerde an Hoster. Wer nicht reagierte, wurde angegriffen. Coelho drehte den Spieß um: ProxyPipe eskalierte Abuse-Meldungen über mehrere Provider bis zu Telia Sonera, dem fünften Upstream, der den Mirai-Steuerserver abschaltete. Die Angriffe des Botnetzes schrumpften danach auf 80 Gbit/s.

Ideen

  • Gleiche Listen von Programmiersprachen verbanden ein LinkedIn-Profil mit einem Hackforums-Pseudonym.
  • Wiederverwendete Handles verknüpfen Jahre alte Forenkonten mit aktuellen Taten.
  • Ähnlicher Code in Mirai und einem GitHub-Projekt stützte die Zuordnung.
  • DDoS-Schutzanbieter für Minecraft-Server verkauften zugleich Angriffe auf die Konkurrenz.
  • Mirai verdrängte konkurrierende Qbot-Bots und sicherte sich so die verwundbaren Geräte.
  • Abuse-Meldungen bis zum richtigen Upstream-Provider können ein Botnetz entscheidend schwächen.
  • Kurze, wiederholte Angriffe zielen auf entnervte Kunden statt auf dauerhafte Ausfälle.

Einsichten

  • Pseudonyme fallen selten an einem Beweis, sondern an vielen wiederverwendeten Kleinigkeiten.
  • Ökonomische Motive erklären Botnetzkonflikte oft besser als technische Neugier.
  • Wer den eigenen Rechercheweg offenlegt, macht eine journalistische Zuordnung überprüfbar.

Zitate

  • The story you’re reading now is the result of hundreds of hours of research. (Brian Krebs)

Fakten

  • Anna-Senpai veröffentlichte den Mirai-Quellcode am 30. September 2016 auf Hackforums.
  • Anna-Senpai vermietete Teile des Botnetzes ab 5.000 US-Dollar pro Woche.
  • Paras Jha bestritt die Urheberschaft gegenüber Krebs in einem Nachtrag vom 19. Januar 2017.
  • Am 8. Dezember 2017 bekannten sich Jha, White und Norman im District of Alaska schuldig, Mirai betrieben zu haben.
  • Jha bekannte sich am 13. Dezember 2017 in New Jersey zusätzlich der Angriffe auf die Rutgers University schuldig.

Referenzen

Bemerkungen

  • Laut Krebs (2025) erhielten die Mirai-Autoren Bewährungsstrafen mit der Auflage, das FBI bei DDoS-Ermittlungen zu unterstützen.
  • Der Beitrag hat ein eigenes Glossar, weil sehr viele Namen und Pseudonyme vorkommen.

Empfehlungen

  • Bewerte Identitätsindizien nur als unabhängige, zeitlich geordnete Beweiskette.
  • Sichere öffentliche Spuren wie Forenbeiträge samt Herkunft und Abrufzeit, etwa im Webarchiv.
  • Melde Botnetz-Steuerserver auch an die Upstream-Provider, wenn der Hoster nicht reagiert.
  • Ändere Standardpasswörter von IoT-Geräten und sperre Telnet von außen.

Originalbeitrag lesen

Im Webarchiv suchen

KrebsOnSecurity · 2025

6,3 Tbit/s: Was nach Mirai kam

Brian Krebs berichtet über einen etwa 45 Sekunden langen Angriff mit mehr als 6,3 Tbit/s auf KrebsOnSecurity, den Google Project Shield abwehrte. Google ordnete ihn dem IoT-Botnetz Aisuru zu, dessen Zugang offen über Telegram vermietet wurde. Die Spur führt zu der Person hinter dem Pseudonym Forky, die nach eigenen Angaben in Brasilien lebt, an Aisuru mitgearbeitet hat und eine Beteiligung am Angriff bestreitet.

KrebsOnSecurity · 2016

620 Gbit/s: Mirai kündigt eine neue DDoS-Klasse an

Brian Krebs dokumentiert im September 2016 einen DDoS-Angriff von rund 620 Gbit/s auf die eigene Seite, fast doppelt so groß wie der bis dahin größte Angriff, den Akamai gesehen hatte. Anders als frühere Rekorde kam der Verkehr nicht über Reflexion, sondern direkt von gekaperten Geräten. Brian Krebs sah Hinweise auf ein Botnetz aus Routern, IP-Kameras und Videorekordern mit schwachen oder fest eingebauten Passwörtern.

KrebsOnSecurity · 2024

BlackCat: Lösegeld kauft kein Vertrauen

Brian Krebs berichtet über Hinweise, dass Change Healthcare der Ransomware-Gruppe BlackCat rund 22 Millionen US-Dollar gezahlt hat, während der Angriff in den USA die Abgabe verschreibungspflichtiger Medikamente störte. Ein Partner der Gruppe beklagte öffentlich, um den eigenen Anteil betrogen worden zu sein, und behauptete, die gestohlenen Daten weiterhin zu besitzen. BlackCat stellte daraufhin den Betrieb ein und zeigte eine offenbar kopierte Beschlagnahmemeldung des FBI.