1337 XOR Elite

…wobei sich dieser Artikel nicht um 13375p34k (Leetspeak) drehen soll, sondern viel eher um die 1337crew (oder neu auch 1337-crew, da wohl die SLD 1337crew unter der TLD `to` schon vergeben war, und die Befürchtung umgeht, die frühere `info`-Second-Level-Domain könnte deaktiviert werden). Hinter dieser zweifelsohne kindischen Bezeichnung verbirgt sich eine Community, die zumindest zu einem grossen Teil aus Personen mit dunklen Hüten und Skript-Kiddies besteht. Neben einigen wenigen durchaus legitimen Themen finden sich vor allem Anfragen von Skript-Kiddies, wie man $seite `hacke` (auch ich hatte vor einiger Zeit einen Fan dort), wie man $malwarebaukasten bediene oder wie man die damit erstelle Malware vor Malwarescannern verstecken könne. Zur Anonymisierung steht unter anderem eine eigene Tor-Node zur Verfügung, samt Anleitung, wie man Tor angeblich dazu bringt, statt des üblichen Circuits aus 3 Nodes nur die 1337crew-Node zu verwenden (dass dies das grundlegende Konzept von Tor – dass die Anonymität niemals auf dem Vertrauen zu einer einzigen Autorität beruhen darf – untergräbt, sollte klar sein. Ich will nicht behaupten, dass die 1337crew-Node loggt; wenn sie es aber – aus welchem Grund auch immer – täte, dann würden sämtliche Informationen anfallen, die zur De-Anonymisierung der Nutzer notwendig sind).

Von `hochwertigen Angeboten`…

Es wäre jedoch falsch zu glauben, die Community bestünde nur aus Skript-Kiddies – eine andere, wesentlich unschönere Seite sind die `hochwertigen Angebote`. Hier werden gestohlene Kreditkartennummern von Privatpersonen, Malware-Generatoren, gestohlene Accounts, Keys für diverse Spiele und ähnliches verkauft. Auch kann man das Botnetz von 13speedtest37 für DDoS-Attacken `mieten`.
Wie mittlerweile bekannt sein dürfte, habe ich für vieles Verständnis, nur nicht für solcherlei Handel. Und für die Verbreitung von Malware auch nicht – wobei es zum Glück (oder leider, das hängt ganz vom Standpunkt ab) bei Baukasten-Malware immer noch sehr populär ist, zur Übertragung der gestohlenen Daten nicht verschlüsselnde Protokolle wie FTP oder SMTP zu nutzen – und das meist nicht als Drop-Box. Wenn da rein zufällig ein Netzwerksniffer läuft…

…und dem Umgang mit Kritik

Das Botnetz des Inhabers ist freilich nicht nur da, um vermietet zu werden – nein, auch gegen die Kritiker (ob nun sachlich oder nicht, sei dahingestellt) der Crew, respektive gegen die Server, die deren Webseiten ausliefern, werden DDoS-Attacken gefahren. Opfer war erst dug-portal.com, wohl weil ein Mitglied einen abfälligen Kommentar bei newsbox.cc eingestellt hatte (in der Folge war auch newsbox.cc `temporär überlastet`). Im Verlauf des Werbethreads im G:B, der in einen Diskussionsthread ausartete, wurde erst onesworld und etwas später – komischerweise kurz nach einem Post von Mati, der einen Link zu FreiBrief.net in seiner Signatur stehen hatte – auch YourFTP (unbeteiligt; das ist aber egal, schliesslich war FreiBrief.net darauf gehostet) seltsamerweise Opfer von DDoS-Attacken – aber das war wohl nur ein seltsames Zusammentreffen unglücklicher Umstände…

DDoS Mania…

Der kritische Thread liegt nun schon einige Wochen zurück. Ob YourFTP jemals zurückkommt, steht in den Sternen – wobei man fairerweise anmerken muss, dass das nach eigenen Angaben nicht nur mit der DDoS-Attacke in Verbindung steht. onesworld ist wieder da, FreiBrief.net war einige Zeit bei CroneKorkN auf einem Homeserver gehostet, wo auch alles glatt lief – doch wenige Stunden nach dem Umzug auf einen neuen Webspace gingen die Angriffe wieder los, wobei die angeforderten URIs darauf schliessen lassen, dass ein gewisser Administrator der 1337crew wohl auf die etwas kritischen, zuweilen leicht sarkastischen Posts CroneKorkNs im Ankündigungsthread auf FreiBrief aufmerksam wurde. Seit jenem Tag ist ein ständiges auf und ab – zeitweise lassen die Attacken nach, einige Stunden später sind die Zombies wieder da – gang und gäbe.

Update: 13speedtest37 hat seine Angriffe unter der Voraussetzung, dass einige von CroneKorkNs Posts, die wohl zugegebenermassen etwas über das Ziel hinausgeschossen sind, entfernt werden, eingestellt.