De FBI heeft een man die verdacht wordt van grootschalige ransomware-aanvallen en gebruikmaakte van een vpn-dienst om zijn ip-adres te verbergen, via een uniek Windows GDID dat Microsoft verstrekte weten op te sporen. Dat staat in de aanklacht tegen de 19-jarige verdachte. De man zou onderdeel zijn van een groep criminelen genaamd Scattered Spider en werd onlangs in Finland aangehouden en uitgeleverd aan de Verenigde Staten.

Scattered Spider wordt verantwoordelijk gehouden voor ransomware-aanvallen op onder andere Caesars, MGM Resorts, Marks & Spencer, bleekmiddelfabrikant Clorox en supermarktketen Co-op. De aanvallen veroorzaakten volgens de autoriteiten miljoenen euro's schade en slachtoffers betaalden ook miljoenen euro's losgeld. Vorig jaar september beweerde een Amerikaanse officier van justitie dat slachtoffers van de groep zeker 115 miljoen dollar losgeld hadden betaald om toegang tot versleutelde data te krijgen en verspreiding van gestolen gegevens te voorkomen.

De 19-jarige verdachte kon aan de hand van het GDID (global device identifier) van zijn Windows-installatie worden opgespoord. Volgens de aanklacht gebruikte de verdachte een vpn om bij tunneldienst ngrok een account aan te maken (pdf). Via deze dienst is het mogelijk om een beveiligde tunnel tussen systemen op te zetten en verkeer te routeren. Bij de aangevallen organisaties zou op gehackte systemen ngrok-software zijn geïnstalleerd die vervolgens werd gebruikt om toegang tot het netwerk te krijgen en data te stelen.

Hoewel de verdachte bij de registratie van het ngrok-account een vpn gebruikte, werd door zijn computer wel zijn Windows GDID doorgegeven. De FBI verzocht ngrok om informatie, waarop de dienst acces records met allerlei tijden deelde. Met een gerechtelijk bevel ging de opsporingsdienst daarna naar Microsoft, die op basis van de access records het GDID identificeerde. Vervolgens keken onderzoekers naar de ip-adressen die in combinatie met het GDID waren gebruikt, wat leidde tot Snapchat-, Apple- en Facebook-accounts van de verdachte.

De man werd op 10 april in Finland aangehouden toen hij aan boord van een vlucht naar Japan wilde stappen. "Microsoft Windows is surveillancesoftware", reageert beveiligingsexpert Matthew Hickey op het nieuws dat het GDID tot de aanhouding van de verdachte leidde. Microsoft heeft zelf weinig informatie over het GDID online staan.