🥇735.000 IPv4-Adressen wurden dem Betrüger entzogen und wieder in das Register überführt

Regionale Internet-Registrierungsstellen und ihre Betreuungsbereiche. Der beschriebene Betrug ereignete sich in der ARIN-Zone.

In den frühen Tagen des Internets wurden IPv4-Adressen großzügig an alle Interessierten vergeben. Heute stehen Unternehmen jedoch Schlange bei den regionalen Registrierern, um auch nur einen kleinen Adressraum zu ergattern. Auf dem Schwarzmarkt kostet eine IP zwischen 13 und 25 Dollar, weshalb Registrierer gegen zahlreiche Schattenbroker kämpfen, deren Geschäftsmodell darin besteht, neue IP-Adressblöcke unter falschen Vorwänden zu erwerben und sie dann an Spammer weiterzuverkaufen. Im Mai 2019 gelang es dem regionalen Registrierer ARIN, IP-Adressen von einem Schattenbroker zu beschlagnahmen,der wegen strafrechtlicher Anklage steht.

Rund 735.000 IP-Adressen wurden zurück an das Register gegeben. Dies ist der erste Fall, in dem IP-Adressen von Betrügern nach einem Gerichtsverfahren beschlagnahmt wurden.

Am 14. Mai erhob die Staatsanwaltschaft von South Carolina Anklage gegen Amir Golestan wegen Betrugs unter Verwendung elektronischer Kommunikationsmittel (Wire Fraud), den er über seine Firma Micfo LLC und ein Netzwerk von Scheinunternehmen betrieben hat. Diese Unternehmen wurden genutzt, um IPv4-Subnetze zu registrieren, die dann an Spammer weiterverkauft wurden..

In Antrag auf Einleitung eines Strafverfahrens Es wurden 20 Betrugsfälle aufgeführt. In einigen Fällen wurde der Preis angegeben, zu dem Golestan die Adressen verkauft hat. Beispielsweise verkaufte er einen Subnetzt mit 65.536 Adressen für 13 $ pro Stück und erzielte damit 851.896 $. Er hatte einen weiteren Vertrag über den Verkauf von 327.680 Adressen zu 19 $ pro Stück, insgesamt 6,22 Millionen $, aber die letzte Transaktion wurde blockiert.

Interessanterweise hat das Unternehmen Micfo selbst Ende letzten Jahres rechtliche Schritte eingeleitet und Klage gegen ARIN (American Registry for Internet Numbers) erhoben. Zuvor hatte der Registrar Golestan über die Entdeckung von Scheinfirmen informiert und gedroht, etwa 735.000 IP-Adressen zurückzuziehen, wenn Micfo nicht bereit sei, mehr Informationen über seine Geschäfte und Kunden bereitzustellen.

Da Micfo bereits einen Teil der Adressen an Spammer verkauft hatte, weigerte man sich, diese Informationen bereitzustellen. Infolgedessen wies das Gericht den Antrag des Unternehmens zurück..

Laut dem Vertrag, den Micfo mit ARIN abgeschlossen hatte, musste jeder weitere Streitfall jedoch durch Schiedsgerichtsbarkeit gelöst werden. Am 13. Mai verpflichtete das Schiedsgericht Micfo zur Zahlung von 350.000 $ für die juristischen Dienstleistungen von ARIN und zur Rückgabe von 735.000 IP-Adressen, die das Unternehmen noch nicht verkauft hatte.

Hier ist eine Liste einiger Decknamen und fiktiver Personen, die Golestan zur Verteilung von IPv4-Subnetzen erfunden hat (aus den Gerichtsdokumenten):

Für die Firmen und fiktiven Personen wurden Webseiten erstellt, E-Mail-Adressen registriert und so weiter. Im Namen dieser wurden Anfragen bei ARIN zur Zuteilung von IPv4-Subnetzen eingereicht. In einer solchen Anfrage muss das Unternehmen seine Geschäftsart beschreiben, die Namen der Mitarbeiter und andere Firmendaten auflisten. Golestan fabrikierte alle Dokumente.

Durch dieses Schema erhielt er von ARIN etwa 757.760 Adressen, deren Marktwert vom Staat zwischen 9.850.880 $ und 14.397.440 $ geschätzt wurde. Das Schema lief seit 2014. In der folgenden Tabelle sind erfolgreiche Anträge bei ARIN zur Zuteilung von IP-Bereichen aufgelistet, während Golestan begann, die Adressen ab 2017 zu verkaufen.

Laut Pressemitteilung von ARIN, Micfo registrierte 11 Scheinfirmen im gesamten US-Gebiet und schuf absichtlich falsche Identitäten für fiktive Führungskräfte dieser Firmen, um betrügerisch IPv4-Ressourcen von ARIN zu erlangen.

„Es war eine komplexe Operation, - , dass er sich wie in einem Käfig fühle, aber anscheinend bereits zu einer der Optionen tendiere. Sogar der Gründer der Piratenpartei Schwedens, Rick Falkvinge, Stephen Ryan, ein ehemaliger Bundesstaatsanwalt, der in diesem Verfahren die Interessen von ARIN vertrat. – Alle elf Scheinfirmen für Micfo sind nach wie vor im Internet aktiv, wo Sie all diese wunderbaren Menschen sehen, die angeblich dort arbeiten. Wir erhielten notariell beglaubigte eidesstattliche Erklärungen zu diesen erfundenen Namen.

Unabhängige Experten berichten, dass Micfo nicht der einzige Schattenbroker ist, der ARIN durch Betrug Subnetze entzogen hat. Über viele Jahre hinweg hat die amerikanische Internetnummernregistrierungsbehörde nicht sehr aktiv gegen Betrug vorgegangen.

Es ist möglich, dass solche Schemas mit Scheinfirmen auch in Russland operieren, obwohl es dort noch keine massenhaften Entziehungen von Subnetzen durch Schattenbroker gegeben hat. Um einen Block von /22 IPv4-Adressen beim europäischen Registrar RIPE NCC zu erhalten, muss man sich als lokale Internetregistrierungsstelle (LIR) registrieren und einen Mitgliedsbeitrag bezahlen. Den Status LIR erhalten in der Regel Internetanbieter, Telekommunikationsunternehmen, große Unternehmen und akademische Institute. LIR erhalten Adressblöcke von RIPE NCC und weisen IP-Adressen ihren Kunden zu.

In Russland gibt es Beratungsunternehmen, die Kunden helfen, LIR für einen Betrag von etwa 36.000 Rubel zu registrieren (zuzüglich 15.000 Rubel jährliche Unterstützung). Es ist offensichtlich, dass die Kosten für einen Block von /22 IPv4-Adressen selbst nach einer minimalen Schätzung von 12 $ pro Stück viel höher sind. Blöcke von /22 werden verkauft und vermietet..

Es ist durchaus möglich, dass jemand in diesem Geschäft tätig ist. Laut Statistiken von 2012–2018, wuchs die Vergabe von IPv4-Adressen in Europa entsprechend einer quadratischen Funktion. RIPE NCC erklärt dies mit der steigenden Anzahl lokaler Registrierungsstellen. Die Rekordzahl neuer LIR wurde im Vereinigten Königreich, Deutschland und Russland registriert.

Im November 2015 hat RIPE die Registrierung zusätzlicher lokaler Registrierungsstellen durch Mitglieder von RIPE NCCverboten, doch das half nicht, sodass das Verbot im Mai 2016 aufgehoben wurde. Zu diesem Zeitpunkt begannen Organisationen, neue juristische Personen zu registrieren, um Blöcke von /22 zu erhalten. Berichten zufolge konnte ein Mitglied von RIPE NCC 66 Blöcke von /22 erhalten, obwohl nur jeweils einer an jeden lokalen Registrierungssteller vergeben wurde.

Vor einem Jahr kündigte RIPE an Verteilung des letzten Blocks /22 aus dem letzten Block /8, aber im Pool von RIPE NCC sind noch 9 Millionen „wiederhergestellten“ Adressen (also Adressen, die von ehemaligen Besitzern entzogen wurden). Laut den Berechnungen des Koordinationszentrums wird dies noch ungefähr für zwei Jahre reichen, wenn man den lokalen Registraren jeweils /22 zuteilt.

Sehr viele Organisationen haben sich riesige IPv4-Bereiche registriert, die heutzutage kaum genutzt werden und nicht zurückgegeben werden sollen (zum Beispiel 16,8 Millionen Adressen im Block 44.0.0.0/8, die angeblich für den Amateurfunk registriert wurden, oder 218 Millionen IP-Adressen vom US-Verteidigungsministerium: 11.0.0.0/8, 22.0.0.0/8, 26.0.0.0/8, 28.0.0.0/8, 29.0.0.0/8, 30.0.0.0/8 und 33.0.0.0/8).

Andere Blöcke werden sehr intensiv genutzt. Zum Beispiel visualisieren von Hilberts Kurven zeigt gut, wie der Adressraum von ungefähr 4,2 Milliarden (2³²) Adressen verteilt ist.

Verteilung des IPv4-Adressraums, April 2018 (klickbar)