Ontwikkelaars SpyEye-malware krijgen negen en vijftien jaar celstraf in VS

Twee ontwikkelaars van de SpyEye-malware, die bekendstaan onder de pseudoniemen Gribodemon en Bx1, zijn in de Amerikaanse staat Georgia tot respectievelijk negen en vijftien jaar cel veroordeeld. De malware zou schade tot bijna een miljard dollar hebben veroorzaakt.

De veroordeelden zijn een Rus, Aleksandr Panin, en een Algerijn met de naam Hamza Bendelladj, die werden verdacht van verschillende vormen van fraude. De 27-jarige Panin, behalve als Gribodemon ook bekend als Harderman, werd in januari 2014 aangeklaagd, nadat hij in juni 2013 was opgepakt in de Dominicaanse Republiek en was uitgeleverd aan de VS.

De 27-jarige Bendelladj bekende in juni 2015 zijn betrokkenheid bij het ontwikkelen van de malware, zo meldt beveiligingsonderzoeker Brian Krebs. Daarnaast bekende hij het in stand houden van een botnet, waarmee hij volgens een schatting van de Amerikaanse overheid ongeveer 100 miljoen dollar schade aanrichtte door creditcardgegevens te stelen. Hij werd in 2013 opgepakt in Bangkok op een reis van Maleisië naar Egypte.

Het bewijs in de zaak laat zien dat de twee veroordeelden via chatprogramma's met elkaar in verbinding stonden en voor elkaar instonden op forums voor internetcriminaliteit. De samenwerking was moeizaam en kwam tot een einde toen Bendelladj aankondigde de broncode van de malware publiek te maken. Krebs vertelt verder dat de SpyEye-malware een tijd lang bekendstond als de Zeus Killer, omdat deze eerst de Zeus-malware van computers verwijderde voordat infectie door SpyEye plaatsvond.

Later zouden de makers van de twee malwarefamilies echter hebben samengewerkt en de code onder een applicatie hebben ondergebracht, zo schrijft Krebs. Ook was Bendelladj geen grote fan van Krebs en dreigde hij achter hem aan te gaan, waarschijnlijk omdat de onderzoeker veel berichten publiceert over internetcriminelen.

De SpyEye-malware was erop gericht om financiële gegevens van slachtoffers te stelen, door computers te infecteren, en keyloggers en credit card grabbers te installeren. De ongeveer vijftig miljoen geïnfecteerde pc's werden aangestuurd door middel van een command and control-server en maakten deel uit van een uitgebreid botnet. SpyEye werd onder andere verspreid door middel van spam-e-mails.

De Amerikaanse overheid laat weten dat bij de arrestatie bleek dat Panin op het punt stond om een verbeterde versie van de malware vrij te geven, die 'een van de productiefste en moeilijkst te detecteren botnets had opgeleverd'. Zover is het echter nooit gekomen. In het bericht van de overheid wordt onder andere dank uitgesproken voor de assistentie die de Nederlandse High Tech Crime Unit bij het onderzoek heeft geboden.

Reacties (24)

[sanscorp]

27 jaar en 15 jaar celstraf vond ik behoorlijk hoog. 1 miljard schade vind ik ook erg hoog. Wat ik er van moet vinden... tja het zijn "gewoon criminelen" en ze hebben niks anders gedaan dan een bank beroven. Krijg je daar ook 15 jaar celstraf voor?

Vaak gaan overvallen gepaard met geweld en fysieke bedreiging en telt dat (hier in NL) wel zwaar mee. Daar is via internet geen sprake van.

[Reactie gewijzigd door sanscorp op 27 juli 2024 07:10]

[Joey_k]

De hoogte van de straf is inderdaad discutabel, echter ben ik van mening dat het goed is dat dit soort straffen worden gegeven.

Wat de beide "heren" hebben gedaan is inderdaad minder ingrijpend als bv een bank beroven, echter neemt het vertrouwen van de internettende medemens hierdoor wel af.

Tegenwoordig moet alles maar via internet gedaan worden; bankzaken, belastinggegevens invullen, afspraken maken met de gemeente etc.
Het is dan eigenlijk ook te gek voor woorden dat je allerlei virus- en malwarescanners moet draaien om te zorgen dat je systeem niet geïnfecteerd raakt en zodoende je gegevens uit handen geeft aan dit soort criminelen.

Juist omdat de drempel in het geval van internetfraude zo laag ligt en zeer makkelijk toegankelijk is (diverse software is makkelijk te kopen/downloaden) moet dit m.i. zo hard mogelijk bestaft worden.
Alleen op deze manier geef je een duidelijk signaal af aan anderen die overwegen dit ook te doen.

[oef!]

Ze hebben gewone mensen zoals jij en ik gedupeerd door 50 miljoen pc's te infecteren (https://www.security.nl/p...r+Zeus-+en+SpyEye-malware) en hebben dus geen bank beroofd in die zin.

Ikzelf ben geen fan van bovenmatig hoge straffen maar 50 miljoen systemen infecteren en een miljard dollar aan schade veroorzaken valt bij mij onder het kopje extreem zware criminaliteit. Tenslotte is er ook nog een kans dat ze als voorbeeld gebruikt worden, malware is een grote plaag die alleen maar uit lijkt te breiden. Anderen zullen (hopelijk) iets langer gaan nadenken voordat ze een dergelijke stunt uit gaan halen.

[Stranger__NL]

Wat mij betreft nog te laag. De fysieke bedreiging (at gunpoint) ontbreekt maar toch kan er flinke emotionele schade zijn(trauma). Gevoel van algemene onveiligheid; rouw om het verlies.

Bekijk de laatste golf van crypto-malware-aanvallen maar eens. Heel veel data ineens weg/onbereikbaar. Alsof inbrekers binnen zijn gegaan en al je fotoalbums en 'oude doos-filmpjes' in de fik hebben gestoken. Of je administratie/werk/... Daar komt echt een rouwproces aan te pas. Of het nu remote digitaal overdag gebeurt of fysiek stiekem midden in de nacht als je slaapt.

Nee; zeker niet minder medelijden met digitale of 'real-world' criminelen omdat ze fysiek niet op de plek van de misdaad stonden.

[Anoniem: 672534]

Dat ben ik met je eens, iemands inkomen op die manier beschadigen is zeer zeker ook onder fysiek geweld sinds mensen wel hun huur/hyphotheek, voedsel en drank en mobiliteit van moeten kopen. Wanneer iemands hele bedrijf is vernietigd kan dat zeker ook fysieke schade aanrichten. Alleen deden deze criminelen dat niet met hun eigen handjes. Eigenlijk kan je het ook nog als een extreem laffe daad zien.

[casparvl]

Ik denk dat in het algemeen, voor het rechtvaardigheidsgevoel van mensen, de straf moet samenhangen met de maatschappelijke impact. Een overval met fysieke bedreiging / geweld heeft meer impact (getraumatiseerd slachtoffer / omstanders) dan zonder geweld, dus dat is een mooi voorbeeld.

Een bankoverval heeft denk ik een stuk minder impact dan het stelen van zoveel creditcard gegevens als deze heren hebben gedaan. Tuurlijk, de bankoverval gaat vast gepaard met geweld en bedrijging, maar de getroffen groep is beperkt: een paar medewerkers zullen aangeslagen zijn en er zal wat geld gestolen zijn (over het algemeen ligt er niet veel voor het grijpen en het slachtoffer is een financiele instelling voor wie dit procentueel niet heel veel geld betreft).

Deze internetcriminaliteit treft echter heel veel mensen direct, doordat hun creditcard misbruikt wordt. Doorgaans krijgen ze dat wel weer vergoed door de bank, maar het geeft wel een hoop stress (en laten we wel zijn: uiteindelijk betalen wij er allemaal aan mee als de bank moet vergoeden). Daarnaast heeft het ook impact op iedereen die aankopen / bankieren via internet doet (praktisch de hele westerse wereld), omdat die aandacht en tijd moeten besteden aan het beveiligen van hun pc. Dus per individu is de impact misschien niet heel ernstig, maar door het volume is de maatschappelijke impact enorm. Persoonlijk vind ik een straf conform die impact dus niet zo raar.

[hmartino]

het is idd een behoorlijke straf

[Reactie gewijzigd door hmartino op 27 juli 2024 07:10]

[Keltie]

https://www.federalcharges.com/bank-robbery-laws-charges/

Schijnbaar een federal charge. Tot 20 jaar brommen. Mits je geen geweld gebruikt.

[AOC]

Anders dan de titel doet vermoeden neem ik aan dat de celstraf gebasseerd is op de schade qua financiele aspect. Echter als je algemeen kijkt naar het spyware verhaal dan vind ik een veroordeling, wetende dat de NSA, FBI, Overheden, Politie net zo hard spyware/malware verspreiden, nogal wrang

iets met 'Behandel anderen zoals je door hen behandeld wilt worden'.

[Reactie gewijzigd door AOC op 27 juli 2024 07:10]

[Terriongaming]

De politie heeft het recht jou te arresteren; dat recht heb jij niet. Dat is één van de voorbeelden van de rechtenverschillen tussen de burgers en de overheid(sinstanties). Jouw rechten vergelijken met die van hen is appels met peren vergelijken.

[SpiceWorm]

Niet zo'n goed voorbeeld, je hebt ook een burgerarrest.

[Terriongaming]

Klopt, maar dit is niet hetzelfde. Een ander voorbeeld dan: het uitschrijven van een boete (uitvoerende macht), het geven van een celstraf (rechtgevende macht) en het opstellen van wetten en er inhoud aan geven(wetgevende macht) zijn drie voorbeelden van toonaangevende verschillen tussen de overheid en de burgers. De relatie is dan ook verticaal, niet horizontaal.

[Anoniem: 672534]

De politie heeft niet het recht jou zo maar te arresteren, daar moet je wel eerst verdacht worden van een misdrijf. Dus ze kunnen je ook niet zo maar op eigen houtje in die functie arresteren. Daar moet je wel wat voor doen doorgaans.

[Terriongaming]

Dat heb ik ook nooit gezegd. Ik zeg alleen dat de uitvoerende macht dat kan doen; ik heb nooit gezegd dat die 'zomaar' gebeurd.

[Anoniem: 672534]

Daar heb jij helemaal gelijk in.

[ManchurianC]

Lijkt mij meer iets met het algemene belang tegenover persoonlijk belang. De overheden hebben in ieder geval nog als doel om het land dat zij vertegenwoordigen te helpen, deze heren hadden maar een enkel doel en die was niet ten bate van anderen dan zijzelf.

[Nachoman]

Ik heb idd vaker gehoord van deze gigantische straffen. Zal denk ik ook afschrikwekkend moeten werken omdat internet criminaliteit relatief nieuw is en justitie graag een duidelijk signaal af wil geven. Wanneer men zachtjes omgaat met dit soort criminaliteit kan dat nog eens behoorlijk uit de klauwen lopen.

[Iblies]

Ik ga er van uit, of ik hoop in ieder geval, dat ze veroordeeld zijn ivm het botnet en CC-gegevens,
en niet op het ontwikkelen van de software.

Het idee en de mogelijkheden blijven bestaan omdat de het OS en bijbehorende software het toelaten.

[mg794613]

Zou een beetje raar zijn in een land waar wapens een legale, lucratieve en geliefde handel is.
Een beetje gechargeerd; je krijgt er bijna een gun bij een pakje boter.

[Somoghi]

Terechte straf, 1 van de vele redenen dat je geen rente meer ontvangt op je lopende rekening.

1 van de vele redenen dat je wordt gedwongen je beveiliging op orde te hebben.

Dit soort types is voor mij de oorzaak van een veel ongenoegen. Uitbannen is een utopie, maar hoe minder hoe beter.

[Kalief]

De rente op betaalrekeningen was al afgeschaft voordat internet uberhaupt bestond.

[Somoghi]

Overdrijven is ook een vak, laat dat aan wolken over.

Internetbankieren (om over internet helemaal niet te praten) https://nl.wikipedia.org/wiki/Internetbankieren

Rente op betaalrekening: http://forum.spaarinforma...-afgeschaft-t4264-15.html

[Reactie gewijzigd door Somoghi op 27 juli 2024 07:10]

[Vygotsky]

Ik vraag me bij dit soort berichten altijd het volgende af: in hoeverre is het ontwikkelen van malware strafbaar?

Natuurlijk hebben deze heren hun technologie voor de verkeerde doeleinden gebruikt en dienen ze daarvoor op hun broek te krijgen. Maar... krijgen ze nu ook straf voor het ontwikkelen van de malware? Er staat immers dat een persoon betrokkenheid bij het ontwikkelen van de malware bekend heeft. Ook in de Blackshades zaak zijn de ontwikkelaars hiervoor gepakt.

Ben ik de enige die dat raar vindt? Een nieuwe mittrailleur uitvinden is toch ook niet strafbaar?