Die Shadow Brokers sind eine Gruppe, deren Mitglieder öffentlich nicht bekannt sind und die 2016 und 2017 Angriffswerkzeuge veröffentlichte, die dem US-Geheimdienst NSA zugeschrieben werden. Darunter war EternalBlue, ein Exploit für eine Lücke in Windows, über den sich im Mai 2017 die Erpressungssoftware WannaCry verbreitete.
- Shadow Brokers
Eine Gruppe, die 2016 und 2017 Angriffswerkzeuge veröffentlichte, die der NSA zugeschrieben werden.
Beispiel: „Seit den Veröffentlichungen der Shadow Brokers gilt ein Werkzeug aus Geheimdienstbeständen als etwas, das jederzeit öffentlich werden kann.“Auch: The Shadow Brokers, die englische Schreibweise mit Artikel; engl. shadow broker = Schattenhändler.
Abgrenzung zur Lazarus Group: Die Shadow Brokers haben Werkzeuge veröffentlicht. WannaCry selbst ordnen die USA und Großbritannien der Lazarus Group zu.
Was die Shadow Brokers veröffentlicht haben
Im August 2016 tauchte die Gruppe mit zwei Archiven auf. Das erste gab sie frei, als Beweis; das zweite blieb verschlüsselt, und das Passwort dazu bot sie in einer Versteigerung an, mit einer Forderung von einer Million Bitcoin. Nach eigener Aussage stammten die Dateien von der Equation Group, einer Gruppe, die die Sicherheitsfirma Kaspersky zuvor beschrieben hatte.
Im April 2017 folgte die größte Veröffentlichung. Microsoft prüfte sie am 15. April 2017 und meldete, die Lücke hinter EternalBlue sei mit dem Update MS17-010 bereits geschlossen. Das Update war seit dem 14. März 2017 verfügbar.
Die Verbindung der Shadow Brokers zur NSA
Sie beruht auf Zuordnungen durch Dritte. Kaspersky verglich das erste Archiv im August 2016 mit dem Schadcode der Equation Group und fand 347 Umsetzungen der Verschlüsselungsverfahren RC5 und RC6 in der Art, wie sie die Equation Group benutzt; die Firma sah eine Verbindung mit hoher Sicherheit, wollte sich zu Identität und Absicht der Veröffentlicher aber nicht äußern.
Deutlicher wurde Microsoft. Am 14. Mai 2017, zwei Tage nach dem Ausbruch von WannaCry, schrieb das Unternehmen, die verwendeten Exploits stammten aus Beständen, die der NSA gestohlen worden seien. Wer die Shadow Brokers sind und wie sie an die Dateien kamen, ist öffentlich nicht belegt.
Was aus EternalBlue wurde
Eine Waffe für alle. WannaCry erreichte über EternalBlue Rechner, auf denen das Update vom März fehlte, und legte im Mai 2017 unter anderem Teile des britischen Gesundheitsdienstes lahm. Die Lücke lag in der ersten Fassung des Windows-Dienstes SMB, SMBv1.
Die Lehre gilt bis heute: Ein Exploit, den ein Geheimdienst zurückhält, schützt niemanden, sobald er abhandenkommt. Zwischen Update und Angriff lagen bei WannaCry rund acht Wochen, genug Zeit für jedes geordnete Patch-Management.