Aufdeckung eines umfassenderen Betrugsnetzwerks durch forensische Website-Analyse
Websites, die in Betrug und Online-Kriminalität verwickelt sind, agieren selten völlig isoliert. Selbst wenn die Betreiber einer Website versuchen, ihre Identität zu verschleiern, können die technische Infrastruktur, historische Aufzeichnungen und Verbindungen zu anderen Online-Diensten wertvolle Ermittlungsansätze liefern.
Haftungsausschluss: Diese Fallstudie basiert auf einem echten Cybertrace Die Ermittlungen laufen. Namen, Domains und identifizierende Details wurden jedoch geändert, um vertrauliche Ermittlungsinformationen und Quellen zu schützen.
Im aktuellen YouTube Cybertrace Im Zuge der Ermittlungen untersuchten unsere Ermittler eine Zahlungswebsite, die im Verdacht stand, Verbindungen zu einem größeren internationalen Netzwerk für Anlagebetrug zu haben.
Die Untersuchung zeigt, dass die forensische Analyse von Websites über die Ermittlung des Domaininhabers hinausgeht. Durch die Untersuchung der historischen Infrastruktur, zugehöriger Domains, Subdomains, Website-Oberflächen und anderer technischer Indikatoren können Ermittler mitunter Zusammenhänge aufdecken, die auf der öffentlich zugänglichen Website nicht ersichtlich sind.
Die Untersuchung
Cybertrace hatte zuvor Informationen über die Zahlungsabwicklungsinfrastruktur im Zusammenhang mit internationalen Anlagebetrugsoperationen gesammelt.
Die Informationen wurden durch eine Kombination aus technischer Analyse, Open-Source-Intelligence (OSINT) und menschlichen Informationen (Informanten) gesammelt, die im Rahmen von Ermittlungen zu Betrugsoperationen im Ausland gewonnen wurden.
Im Rahmen weiterer Analysen Cybertrace identifizierte eine Serverumgebung, die von zahlreichen risikoreichen Websites und Diensten im Zahlungsverkehr genutzt wird.
Die Tatsache, dass verschiedene Websites dieselbe IP-Adresse nutzten, galt jedoch nicht als ausreichender Beweis dafür, dass sie denselben Personen gehörten oder von ihnen betrieben wurden. Die IP-Adresse war einem Content Delivery Network (CDN) zugeordnet , was bedeutete, dass unabhängige Websites potenziell dieselbe Infrastruktur nutzen konnten. Diese Unterscheidung war wichtig.
Webseitenforensische Untersuchungen beinhalten häufig die Identifizierung technischer Zusammenhänge. Die Ermittler müssen jedoch auch feststellen, ob diese Zusammenhänge tatsächlich relevant sind oder lediglich auf die Nutzung gängiger Hosting-, Sicherheits- oder Technologieanbieter zurückzuführen sind. Hierbei ist Fachwissen unerlässlich, um falsche Verknüpfungen von Entitäten zu vermeiden oder Informations- und Beweislücken zu schließen, die sonst ungelöst blieben.
Mehr als nur die IP-Adresse
Cybertrace daher wurden weitere technische Indikatoren untersucht.
Eine historische Analyse identifizierte zahlreiche zahlungsbezogene Subdomains, die mit der Infrastruktur in Verbindung stehen. Weitere Untersuchungen ergaben Ähnlichkeiten zwischen mehreren Websites, darunter ähnlich strukturierte Subdomains für Händler, Verwaltung, Konto und Zahlung.
Die Websites wiesen zudem weitgehend ähnliche Seitenvorlagen und Benutzeroberflächen auf.
Zusammengenommen deuteten diese Indikatoren darauf hin, dass mehrere ansonsten separat vermarktete Dienste möglicherweise über eine gemeinsame Plattform, Backend-Umgebung oder einen gemeinsamen Dienstanbieter miteinander verbunden waren. Historische Aufzeichnungen erwiesen sich dabei als besonders hilfreich.
Einige Websites waren inzwischen in andere Hosting-Umgebungen umgezogen, sodass ihre aktuelle technische Konfiguration die frühere Verbindung nicht mehr erkennen ließ. Eine Analyse der historischen Infrastruktur ermöglichte dies. Cybertrace um Verbindungen aufzudecken, die bei einer Untersuchung der Websites allein in ihrem damaligen Zustand schwer zu erkennen gewesen wären.
Identifizierung eines umfassenderen Website-Netzwerks
Die Untersuchung identifizierte außerdem ein wesentlich größeres Netzwerk verwandter Domains, die mit der untersuchten Website in Verbindung stehen.
Mehrere Domains mit Variationen desselben Markennamens hatten zuvor auf die Hauptwebsite weitergeleitet oder waren anderweitig mit ihr verknüpft. Dies deutete darauf hin, dass die Website Teil eines größeren Online-Ökosystems war und nicht als isolierte Domain fungierte. Solche Analysen sind insbesondere bei Betrugsermittlungen sehr wertvoll.
Betrügerische Netzwerke betreiben häufig mehrere Websites, Marken und Domainnamen. Websites können ersetzt, umgeleitet oder aufgegeben werden, wenn die Anzahl der Beschwerden steigt oder die Aufsichtsbehörden verstärkt aktiv werden. Die Betrachtung einer einzelnen Website liefert daher nur einen Teil des Gesamtbildes.
Historische Domänen- und Infrastrukturforschung kann frühere Websites, zugehörige Dienste und technische Beziehungen aufdecken, die auch dann noch relevant sind, wenn sich die öffentlich zugänglichen Websites verändert haben.
Kombination technischer Beweise mit Geheimdienstinformationen
Die technischen Ergebnisse wurden anschließend mit den Geheimdienstinformationen verglichen. Cybertrace hatte unabhängig von Quellen aus ausländischen Betrugs-Callcentern bezogen.
Diese Quellen identifizierten eine Website, die technisch mit der untersuchten Infrastruktur verbunden war und im Rahmen betrügerischer Anlagegeschäfte und damit verbundener Zahlungsabwicklungen genutzt wurde. Dies lieferte ein wichtiges zusätzliches Beweismaterial.
Technische Ähnlichkeiten können zwar aufzeigen, dass Websites in irgendeiner Weise miteinander verbunden sind, erklären aber nicht zwangsläufig deren Nutzung. In dieser Untersuchung verstärkten unabhängige Erkenntnisse über die operative Nutzung eines Teils der Infrastruktur die Aussagekraft der technischen Befunde.
Die Übereinstimmung verschiedener Evidenzquellen bot letztendlich eine stärkere Grundlage für die Beurteilung der Beziehung zwischen der untersuchten Website und dem umfassenderen Zahlungsabwicklungsnetzwerk, als es ein einzelner technischer Indikator allein hätte leisten können.
Was die Untersuchung ergab
Cybertrace Es wurden signifikante Indizien identifiziert, die die untersuchte Website mit einem umfassenderen Zahlungsabwicklungsnetzwerk in Verbindung bringen, das mit internationalem Anlagebetrug in Zusammenhang steht.
Die Untersuchung ergab, dass es Überschneidungen in der Infrastruktur, Ähnlichkeiten zwischen Händler- und Verwaltungssystemen, verwandte Domänennetzwerke und im Wesentlichen ähnliche Website-Schnittstellen gibt.
Außerdem wurden Verbindungen zu Technologien identifiziert, die von anderen Zahlungsabwicklungsunternehmen im Zusammenhang mit Online-Betrugsaktivitäten eingesetzt werden.
Wichtig ist, Cybertrace war kein Frontalunterricht. Die Schlussfolgerung lautet, dass die gemeinsam genutzte Infrastruktur das gemeinsame Eigentum beweist.
Die vorliegenden Beweise stützten eine technische Verbindung zwischen der Website und dem übergeordneten Netzwerk, eine gemeinsame Eigentümerschaft oder operative Kontrolle konnte jedoch nicht bestätigt werden. Weitere Informationen von relevanten Dienstanbietern wären erforderlich gewesen, um die Identität der für die jeweilige Infrastruktur verantwortlichen Stellen zu ermitteln.
Diese Unterscheidung ist in jeder forensischen Untersuchung wichtig.
Ziel der Webseitenforensik ist es nicht einfach, technische Ähnlichkeiten zu finden und eine Verbindung zwischen zwei Webseiten festzustellen. Die Ermittler müssen die Aussagekraft jedes Indikators, alternative Erklärungen und unabhängige Beweise, die dieselbe Schlussfolgerung stützen, berücksichtigen.
Was dieser Fall zeigt
Diese Untersuchung veranschaulicht, wie die forensische Analyse von Websites Informationen aufdecken kann, die bei einer herkömmlichen Suche auf der Website selbst möglicherweise nicht sichtbar sind.
Durch die Kombination von Analysen der aktuellen und historischen Infrastruktur, Domänenforschung, Subdomain-Identifizierung, technischen Vergleichen, OSINT und anderen investigativen Erkenntnissen kann es möglich sein, umfassendere Netzwerke verwandter Websites und Dienste aufzudecken.
Diese Erkenntnisse können dazu beitragen, neue Ermittlungsansätze zu identifizieren, Beziehungen zwischen Online-Entitäten herzustellen und festzustellen, wo weitere Informationen von Hosting-Unternehmen, Technologieanbietern, Registraren oder anderen Dritten erhältlich sein könnten.
Webseitenforensische Untersuchungen führen nicht immer zur Identifizierung der Person hinter einer Webseite. Wenn jedoch mehrere unabhängige Beweisquellen übereinstimmen, können sie unser Verständnis der Funktionsweise einer Webseite und möglicher Verbindungen zu Personen oder Organisationen erheblich verbessern.
