Microsoft hat den berüchtigten Marktplatz für Cyberkriminalität RedVDS geschlossen

Der berüchtigte Marktplatz für Cyberkriminalität RedVDS existiert nicht mehr, nachdem Microsoft die Cybercrime-as-a-Service-Community offline genommen hat. Behörden in Europa, Großbritannien und den USA arbeiteten mit Microsoft zusammen, um die Infrastruktur von RedVDS zu zerschlagen.

Auch wenn der Name der Webseite vielleicht nicht jedem geläufig ist, waren ihre Auswirkungen in den letzten Jahren weltweit zu spüren. Microsoft gab an, dass Aktivitäten im Zusammenhang mit der RedVDS-Infrastruktur seit September weltweit mehr als 191.000 Organisationen kompromittiert und allein in den USA seit März 2025 Betrugsfälle in Höhe von 40 Millionen US-Dollar ermöglicht haben.

RedVDS war ein Online-Abonnementdienst, mit dem Hacker Angriffe über virtuelle Computer starten konnten, auf denen häufig nicht lizenzierte Versionen von Windows liefen.

Steven Masada, stellvertretender General Counsel der Digital Crimes Unit von Microsoft, sagte, die Online-Community habe Betrug "billig, skalierbar und schwer nachverfolgbar" gemacht.

Dienste wie diese sind still und leise zu einer treibenden Kraft hinter dem heutigen Anstieg der Cyberkriminalität geworden und ermöglichen Angriffe, die Einzelpersonen, Unternehmen und Gemeinschaften weltweit schaden.

Was war RedVDS?

RedVDS nahm 2019 seinen Betrieb auf und bot Hackern über einen Abonnementdienst kostengünstige virtuelle Dienste auf einem Marktplatz an, deren Preise in einigen Fällen bei nur 40 Dollar lagen.

RedVDS ist ein Infrastrukturdienst, der böswillige Aktivitäten ermöglichte, aber im Gegensatz zu Malware selbst keine schädlichen Aktionen durchführte; die Bedrohung ging davon aus, wie Kriminelle die Server nach der Bereitstellung nutzten.

Kriminelle nutzten die über RedVDS verfügbaren Tools für Spam- und Phishing-E-Mails, um Datenverkehr umzuleiten, um einer Entdeckung zu entgehen oder auf kriminelle Foren zuzugreifen, und um Skript- oder Automatisierungstools auszuführen.

Bei diesen Betrugsmaschen verschaffen sich die Angreifer unbefugten Zugriff auf E-Mail-Konten, überwachen unbemerkt laufende Konversationen und warten auf den richtigen Moment, beispielsweise eine bevorstehende Zahlung oder Überweisung.

An diesem Punkt geben sie sich als vertrauenswürdige Partei aus und leiten Gelder um, wobei sie das Geld oft innerhalb von Sekunden transferieren.

Microsoft gab an, zahlreiche legitime Tools entdeckt zu haben, die von Kriminellen auf RedVDS-Hosts zur Durchführung ihrer böswilligen Kampagnen verwendet wurden, darunter VPNs, das Remote-Admin-Tool AnyDesk und KI-Tools wie ChatGPT und sogar das eigene Copilot.

RedVDS wird häufig mit generativen KI-Tools kombiniert, die dabei helfen, hochwertige Ziele schneller zu identifizieren und realistischere E-Mail-Threads mit Multimedia-Nachrichten zu generieren, die legitime Korrespondenz imitieren.

In Hunderten von Fällen beobachtete Microsoft, dass Angreifer ihre Täuschungsmanöver noch verstärkten, indem sie KI-Tools zum Austausch von Gesichtern, zur Videomanipulation und zum Klonen von Stimmen einsetzten, um sich als andere Personen auszugeben und ihre Opfer zu täuschen.

RedVDS-Opfer erwägen rechtliche Schritte

Eine Vielzahl großer Unternehmen weltweit ist in den sieben Jahren seines Bestehens von RedVDS betroffen gewesen. Zu den Opfern gehört H2-Pharma, ein amerikanisches Pharmaunternehmen, das 7,3 Millionen Dollar verloren hat.

Die Gatehouse Dock Condominium Association in Florida verlor durch einen Betrug 500.000 US-Dollar. Beide sind Kläger in der Zivilklage gegen RedVDS, wie Microsoft mitteilte.

Die Schließung ist das Ergebnis einer weitreichenden Operation, bei der koordinierte rechtliche Schritte in den USA und Großbritannien unternommen wurden. Der Technologieriese gab an, dabei eng mit Strafverfolgungsbehörden wie Europol zusammengearbeitet zu haben.

Microsoft und seine Partner haben "wichtige bösartige Infrastrukturen" übernommen, darunter zwei Domains, die den Marktplatz hosten.

Wie Microsoft der Gruppe auf die Schliche kam

RedVDS funktionierte ähnlich wie verschiedene andere Cybercrime-as-a-Service-Modelle. Laut Microsoft bot die Webseite nicht lizenzierte Windows-basierte Remote Desktop Protocol (RDP)-Server mit vollständiger Administratorsteuerung und ohne Nutzungsbeschränkungen an.

Die Hacker hinter dem Dienst prahlten damit, dass ihr System innerhalb weniger Minuten einen neuen Host einrichten könne – und ihren Kunden damit Skalierbarkeit biete.

Bemerkenswert ist, dass das System aufflog, nachdem Microsoft-Ermittler ein "einziges, geklontes Windows-Host-Image" fanden, das im gesamten Dienst wiederverwendet wurde. Dies hinterließ laut den Forschern "einzigartige technische Fingerabdrücke, die die Ermittler zur Aufdeckung nutzen konnten".

Microsoft stellte fest, dass RedVDS virtuelle Windows-Cloud-Server bereitstellte, die jedoch alle aus einem einzigen Windows Server 2022-Image über RDP generiert wurden – ein weiterer Fehler, der den Ermittlern wichtige Hinweise lieferte.

Alle von Microsoft identifizierten RedVDS-Instanzen verwendeten denselben Computernamen, WIN-BUNS25TD77J, eine Anomalie, die auffiel, da legitime Cloud-Anbieter Hostnamen nach dem Zufallsprinzip vergeben.

RedVDS besaß keine eigenen Rechenzentren für seinen Betrieb, sondern mietete Server von fünf Hosting-Unternehmen in den USA, Kanada, Großbritannien, Frankreich und den Niederlanden. Dadurch konnte RedVDS Dienste in verschiedenen Regionen anbieten, Sicherheitsfilter umgehen und Angriffe leichter mit dem normalen Datenverkehr des Rechenzentrums vermischen, so Microsoft.

Microsoft gab an, dass derzeit Anstrengungen unternommen würden, um die Personen zu identifizieren, die die Webseite betrieben, bezeichnete den Angreifer jedoch als "Storm-2470".

Wie können sich Unternehmen schützen?

Was können Unternehmen tun, um solche Angriffe zu vermeiden? Microsoft stellte fest, dass die meisten Angriffe im Zusammenhang mit RedVDS Social Engineering, Phishing-Operationen und Business Email Compromise (BEC) betrafen.

Um sich gegen Phishing- und BEC-Angriffe zu schützen, empfiehlt Microsoft, sich auf primäre Gateways wie E-Mail und Authentifizierung zu konzentrieren, indem man Anmeldedaten und Cloud-Identitäten absichert, und in Schulungen zur Sensibilisierung der Benutzer, wie z. B. Phishing-Simulationen, zu investieren.

Einfache Maßnahmen können das Risiko erheblich verringern, darunter das Abwarten und Hinterfragen der Dringlichkeit, das Zurückrufen von Kontaktpersonen unter bereits bekannten Nummern, die Überprüfung von Zahlungsaufforderungen anhand zusätzlicher Kontaktinformationen, die Aktivierung der Multi-Faktor-Authentifizierung, das sorgfältige Beobachten subtiler Änderungen in E-Mail-Adressen, das Aktualisieren von Software und das Melden verdächtiger Aktivitäten an die Strafverfolgungsbehörden.