Tausende Kundendaten in Gefahr: Der Chemical Love-Shop hat alles mitgeloggt

[RedDevil]

https://www.szenebox.org/images/_imported/2016/05/81.jpg

Chemical Love gab sich gern global und perfekt in seiner Außendarstellung. Weltweiter Versand? 24h-Kundensupport? Großhändler-Preise für Drogen? Eigene Ecstasy-Pressung? Alles kein Problem dank Top-Sicherheit und Erfahrung, wurde den Käufern vermittelt.

Die vermeintliche Sicherheit, die durch die räumliche Entfernung und Anonymität eines Online-Shops hergestellt wird, ist nicht zuletzt der Grund für viele Kunden, sich ihre Ware im Internet zu besorgen. Sagen andere, der Typ hat gute Ware? Kommt auch immer alles an? Sieht alles nach einer einfachen, vertraulichen und diskreten Abwicklung aus? All das senkt die Hürden, um die Online-Drogenbestellung vielleicht doch mal auszuprobieren. Doch der Fall Chemical Love verdeutlicht noch einmal eindrücklich: Du bist nur so sicher wie der Typ am anderen Ende der Leitung

Wir haben uns das System hinter dem Chemical Love-Drogenshop angeschaut und festgestellt: Chemical Love ging keinesfalls so sicher und diskret mit den Kundendaten um, wie es bei einer so klandestinen Operation im Darknet oder Clearnet eigentlich angebracht wäre. Ganz im Gegenteil: Der Shop hat alles säuberlich mitgeloggt.

Für die mehreren tausend Kunden, die Chemical Love in den zwölf Monaten seines Bestehens bedient hatte, könnte das noch einmal zu einem großen Problem werden

Die Seite lief auf dem Wordpress-Warenkorbsystem WooCommerce, das optimiert ist, um kleinen Betrieben einen schnellen und reibungslosen Abverkauf ihrer Katalogware zu garantieren. In der Demo ist dort Landwirtschaftsbedarf zu sehen. Coder Statine, der Admin von Chemical Love, ersetzte die Bilder durch Heroinbarren mit Chemical Love-Wasserzeichen und eimerweise Ecstasy. Die Software wurde so angepasst, dass die Bezahlung nicht mehr per Paypal, sondern per Bitcoin abgewickelt wird. Zum Template gehört neben zuschaltbaren Coupon-Angeboten („Wir bieten Euch das GREXIT Paket – 3 Produkte zu einem unglaublichen Preis zusammen. Beinhaltet: 0.5g Classic Kokain , 5 XTC Yellow Berry & 5g Hash Super Polm. Try it!“) auch eine Übersicht aller Bestellungen.

Neben dem Bestellstatus wurden so die Namen und Adressen aller Käufer, dazu Bitcoin-Adressen, Daten und Mengen auf den Servern unverschlüsselt gespeichert. Es ist davon auszugehen, dass viele der Kunden auf ihren echten Namen und ihre Meldeadresse bestellt haben—das legen vergangene Fälle verhafteter Online-Drogenhändler nahe.

https://www.szenebox.org/images/_imported/2016/05/82.jpg

Auch der Macher hinter Shiny Flakes, Maximilian S., hatte bei seinem Drogenshop eine Lieferliste seiner Kunden geführt, die die Polizei schließlich zu vielen Käufern führte und reihenweise Hausdurchsuchungen nach sich zog. Das, was Shiny Flakes aufwändig händisch erledigte und auf seinem Rechner selbst mitloggte, erledigt im Fall Chemical Love also die Wordpress-Shopfront. Dort sind die finanziellen und personellen Details aller Drogenverkäufe weltweit säuberlich aufgelistet.

Der Slogan des bisher europaweit größten Drogenshops bekommt damit ernste Kratzer: „Wir haben uns zum Ziel gesetzt, unseren Kunden hochqualitative Produkte zu bieten und einen realen und echten Kundenservice zur Verfügung zu stellen.“

Denn Vertrauen—zumindest temporäres—ist in der Szene der Internetkriminellen die wichtigste Währung, durch die Geschäfte zustande kommen. Als Online-Drogendealer gewinnt man dieses Vertrauen neben Diskretion durch erfolgreich abgeschlossene Transaktionen und saubere Ware. Als Beleg dienen die scheinbar nicht kompromittierbaren Bewertungen der User. Doch wenn die Plattform, auf der diese Bewertungen abgegeben werden, in Teilen von demjenigen kontrolliert wird, der ein Interesse an gutem Marketing hat, bricht dieses System zusammen:

Genau wie Maximilian S. ließ nämlich z100, der die Drogen für Chemical Love besorgte, ebenfalls keine negativen Bewertungen auf jenem deutschen Schwarzmarkt-Board zu, das ihm als wichtige Operationsbasis diente. Mit steigendem Druck und Kundenzahlen reagierte er zunehmend ungehaltener. Kritik, schlechte Erfahrungen, verlorene Sendungen, wenig schmeichelhafte Reviews zu Verpackung oder Qualität wurden in regelmäßigen Abständen von z100 aus dem Schwarzmarktboard gelöscht oder versteckt, wie mehrere Moderatoren des Forums bestätigen. Motherboard konnte beim Interview mit Statine mehrere auf „unsichtbar“ gestellte Threads einsehen, in denen sich negative Äußerungen über die Ware, den Support oder den Versand befanden. Die Nutzer wurden daraufhin geblockt.

https://www.szenebox.org/images/_imported/2016/05/83.jpg

Doch es ist keinesfalls gesichert, ob die Ermittler trotz der unterirdischen Sicherheitsmaßnahmen seitens Chemical Love überhaupt in Besitz der Kundendaten kommen konnten. Die Staatsanwaltschaft Verden beschlagnahmte nämlich keine Content-Server bei ihrer Razzia am 14.5., sondern räumte gegenüber Motherboard ein, bislang lediglich zwei Proxyserver in den Niederlanden und in Bulgarien beschlagnahmt zu haben. Das erklärt auch, wieso die Seite noch drei Wochen nach der „Zerschlagung“ von Chemical Love online war.

Alle Kundendaten wurden also mitgeloggt. z100 hat immer öffentlich das Gegenteil behauptet. Hätten das die Leute auf dem Forum nicht vielleicht schnellstmöglich erfahren sollen? „Klar, aber ganz ehrlich: Mir konnte das doch egal sein. Ich hab mein Geld immer bekommen, und der Boardbesitzer war eigentlich auch immer zufrieden, solange alle bezahlt haben“, sagte mir der Admin Statine. Rippers gonna rip—auch das gehört zu den unfairen Regeln eines Schwarzmarkts.

Quelle: Motherboard.vice.com (http://motherboard.vice.com/de/read/tausende-kundendaten-in-gefahr-der-chemical-love-shop-hat-alles-mitgeloggt)

[The Don]

War mir am Ende schon klar.

[RedDevil]

Die Leute die da ohne VPN usw was gekauft haben, sind eh selber schuld ! Welcher normale Mensch kauft bei solch einem Portal ohne Schutz solche Sachen ?

[Cannonau]

Na, der VPN ist das kleinste Problem, da haben die Kunden, die vor längerer Zeit bestellt haben, eine Chance, daß die IP nicht mehr mit ihrem Realnamen in Verbindung gebracht werden kann. Aber die Real-Adresse, die "verfällt" nie, diese Leute können sich noch laaaaaaaaange Gedanken machen.

Immerhin besteht die Hoffnung, daß die Seite durch ein ähnliches Sicherheitsprotokoll gelöscht wurde, wie es für CNW ja auch existiert haben soll.

Der Screenshot sagt ja auch erstmal nicht aus, ob es nicht doch eine Verschlüsselung auf der Hardware gegeben hat - ist die Kiste heruntergefahren und der Kram ist verschlüsselt, kommen sie nicht an die Daten, sofern das Passwort und der Passwortinhaber stark genug sind ;-) Der Screenshot sagt nur aus, daß das Versprechen der Datenlöschung nicht eingehalten wurde.

Interessant auch, daß alle auf dem Screenshot aus Philly stammen und per PayPal bezahlt haben sollen ...

Nun, wenn man den PGP-Key auf der Seite importieren wollte, dann stellte man fest, daß der "kaputt war". Ich habe den mal mit mehreren Schlüsseln verglichen, die für bekannte CL-Kontaktmails auf PGP-Keyservern gespeichert waren und und es gab einen, der stimmte über einige Zeilen überein, dann nicht mehr - sicher irgendein dämlicher Copy / Pastefehler.

Die onion-Adresse funktionierte auch über Monate nicht.

Man kann nicht von jedem verlangen, der sich mal eine Lunte gönnt, daß er das zu deuten weiß, aber wer es kann, dem ist klar, da war jemand am Werk, der entweder von nichts Ahnung hatte oder dem alles scheißegal war - Letzteres kann ja schnell passieren, wenn man sein eigenes Zeug konsumiert :->

Am 13.05. kommt VICE damit erst an's Licht? Das kursierte ein bis zwei Wochen schon so auf CNW, kurz nachdem das Monopol aufgehoben wurde. Ist zwar toll, daß sie am Ball bleiben, aber ich würde mir eine schnellere und klarere Berichterstattung wünschen. Wenn man schon Statine für ein Interviw zur Verfügung hatte, hätte man ihn über aussagekräftige Details zu den Sicherheitsmaßnahmen befragen können - leider mal wieder nur die halbe Story gebracht, wie fast immer.

Cannonau

[Jana-Maria]

Logging gab es, Statine dieser Jude hat mal Screens per Jabber rumgeschickt, erst als CL das mitbekommen hat ist er hochkannt von CL ausgeschlossen worden.

[Nimbus]

Interessant auch, daß alle auf dem Screenshot aus Philly stammen und per PayPal bezahlt haben sollen ...
Der Screenshot stammt von einer anderen Seite und soll illustrieren, wie das bei diesem System im Backend aussieht.

Die PGP-Message mit der Geschichte über das Sicherheitsprotokoll wurde ja auch nicht im CL-Kontext sondern "für" CNW veröffentlicht. Der benutzte Key ist vermutlich entweder keinem bekannt (Fake) oder nur einem ausgewählten Kreis bekannt.
Letzteres wäre eigentlich nicht mal so doof. Für fast alle geht die Nachricht als unverifiziertes Rauschen unter und die Adressaten bekommen ihre Nachricht

[Shepard]

Die Leute die da ohne VPN usw was gekauft haben, sind eh selber schuld ! Welcher normale Mensch kauft bei solch einem Portal ohne Schutz solche Sachen ?

Sollte man da nicht lieber gleich Fragen welcher Mensch kauft sich ONLINE solche Sachen?
Mir würde das nie in den Sinn kommen ganz ehrlich.

[The Don]

Ich würde nicht mal drauf kommen, mir überhaupt soetwas zu kaufen ;)

[Unlimiter]

Tatsache ist, dass jemand aus dem Bekanntenkreis meines Bekanntenkreises anfragte, wie man mit Bitcoins bezahlt. Bei näherer Nachfrage stellte sich heraus, dass er sich Drogen über das Internet beschaffen wollte. Seine Begründung dafür war:
Ein Freund von ihm machte es auch und das liefe einwandfrei
Was soll schon passieren? Er kauft es doch eh aus dem Darknet
Die Verkäufer kennen sich schon mit dem Verschicken aus, die machen es ja nicht zum ersten Mal
Bequemlichkeit
Es sieht ja dann auch keiner


Bei der Kombination dieser 3 Faktoren setzt anscheinend das Hirn bei manchen aus. Weil ich bei solchen Unterfangen aus Prinzip nicht unterstütze, verging nicht einmal eine Woche und ich erhielt von meinem Bekannten eine neue Auskunft über seinen Bekannten.

Er weiß nun wie man mit Bitcoins bezahlt und wie man sie bekommt. Ich fragte natürlich nach, wie er denn an die Bitcoins kommt und wie er bezahlen möchte. Schlussendlich belief es sich darauf, dass er über seinen ganz normalen PayPal Account über eine sicheren Händler, bei dem man seine RL-Daten nachweisen muss, Bitcoins kaufen wollte. Dann hatte er vor über dieselbe Adresse die Bitcoins zu überweisen. Übrigens kommt noch hinzu, dass sämtliche "legal erscheinende Seiten" von ihm anscheinend ohne VPN oder ähnlichem besucht werden.

Anscheinend steigt die Sicherheit an, wenn man nur genügend Positives über solche Dienstleistungen hört. Das Fehler bei Kleinigkeiten wie z.b. bei der Zahlung passieren können und das das Deepweb definitiv nicht so sicher ist, wie sie denken, wird einfach völlig verdrängt ( von der Adressen-Angabe ganz zu schweigen).

[RedDevil]

Sollte man da nicht lieber gleich Fragen welcher Mensch kauft sich ONLINE solche Sachen?
Mir würde das nie in den Sinn kommen ganz ehrlich.

Da hast Du wohl recht ^^ Mir würde das auch nicht in den Sinn kommen bei solch ein Portal was zu bestellen auch wen ich solche sachen nehmen würde, was ich nicht tue.

[maz]

Das Problem ist hier doch weniger das Zahlungsmittel als der Briefkasten. Klar, man kann sich die Drogen an einen fremden Briefkasten schicken lassen und sie dort abholen, aber das ist aufwändig und auch unsicher. Dann kann man sich vermutlich auch irgendwo ein Schliessfach unter falschem Namen geben lassen, das kostet aber etwas. Schlussendlich ist es doch einfacher man holt sich die Drogen bei einem lokalen Dealer oder noch besser man verzichtet einfach darauf. Die Besteller waren ja vermutlich meist nicht gross Abhängig von den Drogen.

[JamJam]

Das Preis/Leistungsverhältnis ist um einiges besser als auf der Straße!

Wenn man es holt kann man ja gesehen/erkannt werden.
Und dann kommt nach dazu, das viele denken, man ist im Internet komplett anonym wenn man im Netz einfach einen Nick wählt, aber trotzdem seine RL Email-Adresse angibt...

[Unlimiter]

Das Problem ist hier doch weniger das Zahlungsmittel als der Briefkasten.

Es geht mehr um was anderes: Es ist den Leuten egal, denn die meisten interessiert es nicht, dass sämtliche RL-Verweise nachverfolgbar sind.

Der Erste ignoriert alles und kauft ungeschützt ein direkt zu sich nach Hause(weil es schon sicher sein wird).
Der Zweite achtet zwar drauf, dass sein Stoff wo anders hingeliefert wird, vergisst aber eine sicher Zahlungsweise zu wählen(weil es schon sicher sein wird).
Der Dritte achtet auf beide Punkte, aber vergisst die Zurück-Verfolgbarkeit seiner Zahlungsweise abzuchecken (weil es schon sicher sein wird).

Am Ende sieht es doch so aus, dass je mehr Aufwand dafür betrieben werden muss sich abzusichern, desto uninteressanter wird das Angebot für einen. Je weniger jemand Ahnung hat und umso mehr er denkt, "dass es schon sicher ist", desto eher wird er der Sache nachgehen.

Da fällt mir ein, ich hatte ein Argument vergessen, was sich in des Bekannten Hirn festsetzte und ich glaube ihr kennt das irgendwoher:


Die Interessieren sich eh nicht für die Käufer. Die wollen, wenn eh nur die Betreiber haben.
Da muss man mal sehen mit welcher Sicherheit Leute bei sowas an den Start gehen, ohne in geringster Form Ahnung zu besitzen.

Nur ist es eine erwiesene Sache, dass wenn man seine Daten so schön preisgibt, man dann auch nicht übersehen wird (immerhin bleibt ja der ganze Ermittlungsaufwand erspart).



..einfach einen Nick wählt, aber trotzdem seine RL Email-Adresse angibt...

So traurig und doch so wahr. :D

[Dalvik]

ebenfalls ist es den behörden nicht gelungen die server zu beschlagnahmen.
das war auch eine falsche information und in weiterer folge haben sie korrigiert dass die beschlagnahmten server nur als proxies fungiert hatten.


korrekt. die behörden haben keine kundendaten.

So viel zu "jeder, der auf RL-Addresse bestellt hat, ist gefickt" und Vorladungswelle ala Shiny-Flakes.

[Cannonau]

Die Interessieren sich eh nicht für die Käufer. Die wollen, wenn eh nur die Betreiber haben.

Was sie wollen, ist ohnehin irrelevant. Vergehen nach §29 ff. BtMG sind sog. Offizialdelikte, das heißt, der Staat muß sie verfolgen, sobald er Kenntnis von ihnen hat. Auch der versuchte (!) Erwerb ist in D schon strafbar. Bei per BtMG "geringen Mengen" kann der StA das verpflichtend zu eröffnende Verfahren wg. Geringfügigkeit (auch unter Auflagen) wieder einstellen, muß er aber nicht.

Die Straftatbestände im Einzelnen sind hier (http://www.kanzlei-kaempf.net/strafrecht-straftaten-des-btmg-betaeubungsmittelgesetz/) sehr schön erklärt.

Ich finde wichtig, daß auch das den Interessenten mal erklärt wird. Es bedeutet im Prinzip: Deutsche werden dann Post bekommen, sobald sie als möglicher Täter identifiziert werden, ob es über die Zahlung, IP, Mail- oder Versandadresse geschieht, ist zunächst egal.

Wollen wir hoffen, daß die Daten inzwischen tatsächlich vernichtet sind. Sicher kann sich keiner fühlen, denn solange sie nicht vernichtet sind, besteht prinzipiell noch die Möglichkeit, daß etwas nachkommt, auch nach längerer Zeit noch. ;-)

Cannonau

[Unlimiter]

Es steht hier nicht die gesetzliche Lage im Vordergrund (deswegen habe ich sie unter anderem in sämtlichen Texten nicht hervorgehoben), sondern die Beziehung zwischen dem Denken und Handeln der Person und der tatsächlich (auch bewussten - ja vielen ist es bewusst) Gesetzeslage. Das bringt uns ja zur Frage "Wieso bestellen sich Leute so etwas online" - was unser Ausgangspunkt war.

Erkläre jemanden: "Wenn du das machst ist es eine Straftat und das sind die Konsequenzen (Liste)". Dir wird dann gesagt: "Das ist mir doch egal, die interessieren sich doch eh nur für die Betreiber".

Das ist vollkommen normal. Je mehr man etwas will, desto mehr fängt man an negative Aspekte auszublenden oder schön zureden.

[fuckedup]

Kurze Zwischenfrage:
Sofern bei den folgenden Hausdurchsuchungen nichts gefunden wird, inwiefern soll dann weiter gegen die Personen ermittelt werden? Muss nicht bewiesen werden, dass die Person die Drogen auch wirklich bestellt hat und dann auch noch, dass die Drogen angenommen wurden? Und selbst wenn eine Unterschrift vorhanden ist, beweißt das doch noch lange nicht, dass auch wirklich Drogen im Brief/Paket waren. Bei uns geht der Postbote auch wieder, wenn ich nur einen Strich als Unterschrift abgebe, das ist dem recht egal.

[Unlimiter]

https://www.gesetze-im-internet.de/btmg_1981/__29.html (den Paragraphen hat Cannonau schon angeführt)

Sollte alles hiermit abgedeckt sein. Da steht auch direkt beschrieben, dass der Erwerb verboten ist. Das heißt der Erhalt ist bereits irrelevant, weil du zuvor eine Straftat begangen hättest.

Muss bewiesen werden, ob du die Drogen gekauft hast? Nun, man könnte sagen sie haben den Beweis durch deine Daten. Läuft es ähnlich ab wie beim Fahren eines fremden Autos so könnte es sein, dass du derjenige bist der Beweisen muss, dass du unschuldig wärst. Hier muss ich aber zugeben, dass ich mich auf ziemlich glatten Eis befinde und es nur eine Vermutung ist. Ansonsten läuft es ja beim Begehen einer Straftat eines Dritten über deine Internetleitung ja auch so ab.

[fritzi]

ebenfalls ist es den behörden nicht gelungen die server zu beschlagnahmen.


das war auch eine falsche information und in weiterer folge haben sie korrigiert dass die beschlagnahmten server nur als proxies fungiert hatten. korrekt. die behörden haben keine kundendaten.


So viel zu "jeder, der auf RL-Addresse bestellt hat, ist gefickt" und Vorladungswelle ala Shiny-Flakes.

Bei welchem Hoster stehen die eigentlich das sie da nicht rankommen? Gibt es wirklich so unkooperative?
Oder haben sie den einfach noch nicht "verorten" können?

[The Don]

So wie es klingt, hatten die 2 Proxy vorm Backend und schon wird es immer schwieriger an die Backend IP zu kommen.
Geld spielte ja da nicht wirklich eine Rolle.

[caly]

Auf Reddit wurde heute behauptet, dass heute Hausdurchsuchungen bei den Kunden stattfinden.

https://www.reddit.com/r/DarkNetMarkets/comments/50gcmg/german_hausdurchsuchungen_chemical_love/

[tm42]

nettes Früchtchen, "In die Website von Chemical Love hat Statine verschiedene, clevere Sicherheitslücken in den Quellcode eingebaut. Die ermöglichten ihm, den gesamten Inhalt von der Seite zu fegen—man müsste nur einen bestimmten Code hinter der URL eingeben, schon wäre das ganze Meth-, LSD-, Heroin- Koks- und Downers-Sortiment für immer verschwunden. ", aus dem KiBa-Interview im Mai mit Motherboard (http://motherboard.vice.com/de/read/auf-eine-kiba-mit-chemical-love). Das freut die anderen shops, für die er tätig war sicher.