Die Qilin-Ransomware-Gruppe hat Daten veröffentlicht, von denen sie behauptet, sie seien vom US Bureau of Alcohol, Tobacco, Firearms and Explosives (ATF) gestohlen worden, und hat dabei Dateien offengelegt, die offenbar Informationen enthalten, die mit bundesstaatlichen Strafuntersuchungen und digitalen forensischen Untersuchungen zusammenhängen.
Die Veröffentlichung folgt auf eine frühere Drohung von Qilin, die der Behörde 72 Stunden Zeit gab, bevor sie das gestohlene Material freigab. Nach Ablauf des Countdowns veröffentlichte die Ransomware-Operation offenbar mindestens 6,3 GB interner ATF-Dateien auf ihrer Dark-Web-Leak-Seite.
Das ATF hat bestätigt, dass ein altes eigenständiges System kompromittiert wurde. Die betroffene Umgebung wurde als CALEA-System der Behörde identifiziert, das im Zusammenhang mit bundesstaatlich genehmigter elektronischer Überwachung gemäß dem Communications Assistance for Law Enforcement Act verwendet wird.
Die Behörde räumte ein, dass Qilin behauptet, Material aus diesem System veröffentlicht zu haben, erklärte jedoch, dass sie die Authentizität, genaue Art oder den vollständigen Umfang der veröffentlichten Dateien nicht überprüft habe. Die ATF arbeitet mit dem Justizministerium und anderen Bundespartnern zusammen, um den Vorfall zu untersuchen.
Das Büro hatte zuvor bestätigt, dass das kompromittierte System Informationen über Ziele von ATF-Ermittlungen enthielt. Beamte sagten jedoch, es gebe keine Hinweise darauf, dass Angreifer das Hauptunternehmensnetzwerk der Behörde, ihre eForms-Plattform oder andere ATF-Systeme erreicht hätten. Der Vorfall störte auch nicht die Abläufe der Behörde.
Eine erste Prüfung des veröffentlichten Materials zeigt, dass das Leck möglicherweise deutlich mehr als routinemäßige Verwaltungsinformationen enthält.
Die Verzeichnisse innerhalb der Daten scheinen einzelnen Untersuchungen und Feldoperationen zu entsprechen, einschließlich Ordnern, die mit ATF-Büros in Houston und Laredo verbunden sind. Andere Verzeichnisse scheinen Einzelpersonen, spezifische mobile Geräte und Online-Konten zu identifizieren, die mit Ermittlungsarbeit verbunden sind.
Die Dateien enthalten offenbar auch Informationen, die von Smartphones und anderen Geräten extrahiert wurden. Das aufgedeckte Material enthält Berichten zufolge Hinweise auf iPhones, Samsung Galaxy-Geräte, SIM-Karten, iCloud-Informationen und forensische Extraktionen von Cellebrite.
Weitere Unterlagen enthalten offenbar Kontokennungen, IP-Adressen, Registrierungsinformationen und verifizierte Telefonnummern. Einige Verzeichnisse scheinen auch direkt Strafsachen zu entsprechen, einschließlich Unterlagen im Zusammenhang mit einer Ermittlung zum Raub eines Geldtransporters.
Das Leck könnte zudem Informationen über Teile der Technologieumgebung von ATF offenbaren, einschließlich der von der Behörde verwendeten Sicherheitssoftware.
Qilin listete ATF erstmals am 26. August auf seiner Leak-Seite, am selben Tag, an dem die Behörde bestätigte, dass eines ihrer eigenständigen Systeme gehackt worden war. Zu diesem Zeitpunkt hatte die Ransomware-Gruppe nur wenige Beweise darüber geliefert, was sie erhalten hatte.
Die anschließende Veröffentlichung liefert deutlich mehr Material, aber die volle Wirkung wird weiterhin untersucht. ATF hat den Eingriff Qilin offiziell nicht zugeschrieben, und die Behörden haben nicht bestätigt, dass jede von der Ransomware-Gruppe veröffentlichte Datei authentisch ist.
Die Sensibilität des betroffenen Systems macht den Vorfall besonders ernst. ATF-Ermittlungen können Waffenhandel, Sprengstoff, Brandstiftung, Gewaltverbrechen und andere Bundesfälle umfassen, was bedeutet, dass offengelegte Ermittlungsakten potenziell Informationen über Verdächtige, Beweise und Personen mit laufenden oder früheren Ermittlungen enthalten könnten.