Spyhide war eine Telefonüberwachungs-App, die die Überwachung von Zehntausenden Android-Gerätebesitzern weltweit ermöglichte. Stalkerware wie diese wird auf dem Telefon eines Opfers installiert, oft von jemandem, der dessen Passcode kennt, und stiehlt dann fortlaufend Kontakte, Nachrichten, Fotos, Anrufprotokolle, Aufnahmen und detaillierten Standortverlauf.
Im Jahr 2023 legte ein Hack die Operation und die Administratoren offen, die davon profitierten, und Spyhides Website verschwand aus dem Internet – doch ihr Back-End-Server, der auf einer völlig anderen Domain gehostet wurde, blieb online und kommunizierte weiter mit den Telefonen, die überwacht wurden. Das ermöglichte es den Administratoren, Ende Juli 2023 als Oospy neu zu starten, ohne die Spionage selbst zu stören.
Der zweite Akt dauerte Wochen. TechCrunch identifizierte zwei Administratoren, darunter Mohammad (Mojtaba) Arasteh, der bestätigte, „vor mehreren Jahren als Programmierer“ an dem Projekt gearbeitet zu haben, aber eine Beteiligung an Oospy bestritt. Ein Fehler auf Oospys Kassenseite gab den Namen des Kontoinhabers der PayPal-Adresse preis, die Kundenzahlungen entgegennahm, und Oospy akzeptierte bald kein PayPal mehr. Am 5. Oktober 2023 nahm der Webhoster Hetzner den Back-End-Server – der gestohlene Telefondaten von Tausenden Android-Geräten speicherte – wegen Verstoßes gegen seine Nutzungsbedingungen offline und beendete damit die Funktionsfähigkeit der Operation.
Mindestens 60.000 Opfer weltweit, darunter Tausende in den USA; der Neustart überlebte Wochen, bevor der Serverhoster den Vertrag kündigte.
Der Neustart hielt das verbrannte Back-End auf seiner ursprünglichen Domain am Leben, sodass dieselbe Infrastruktur ein Ziel und eine Spur blieb.
Die Ökonomie der Stalkerware lief über die gängigen Schienen: PayPal wickelte die Kundenzahlungen ab, obwohl Richtlinien Spyware verbieten, und diese Abhängigkeit wurde zur zweiten Bloßstellung.
Die Bloßstellung verstärkte sich, sobald Forscher Administratoren nannten – jedes operative Detail, bis hin zu einem gemeinsamen Familiennamen auf einem PayPal-Konto, wurde zum Beweis.
Der Webhoster war die Gegenpartei, die kein Neustart ersetzen konnte: Hetzner setzte seine Nutzungsbedingungen durch und schaltete den Server ab.
Ein Neustart behebt den Namen, nicht das Leck: dasselbe Back-End, dieselben Zahlungsschienen und dieselben operativen Fehler werden dich ein zweites Mal entlarven.
Oospys Website ging kurz nach TechCrunchs Kontaktaufnahme mit Arasteh vollständig offline, und die Abschaltung des Servers markierte das Ende der Fähigkeit von Spyhide und Oospy zu operieren – vorerst. Sie folgten der polnischen Stalkerware LetMeSpy, die nach einem Datenleck im Juni 2023 abgeschaltet wurde, und SpyTrac, einer der größten bekannten Android-Spyware-Apps, die verschwand, nachdem eine TechCrunch-Untersuchung sie mit Support King in Verbindung gebracht hatte – dem Hersteller, den die FTC nach einem früheren Leck aus der Überwachungsbranche verbannt hatte.
DEN BELEGEN FOLGEN
Die Quellen
- Hacked phone spyware shuts down… again TechCrunch · techcrunch.com ·