🥇Ein Betrüger wurde 735.000 IPv4-Adressen entzogen und sie ins Register zurückgegeben

Regionale Internet-Registrarien und ihre Zuständigkeitsbereiche. Der beschriebene Betrug fand im ARIN-Bereich statt.

In den frühen Tagen des Internets wurden IPv4-Adressen in großen Subnetzen an alle Interessierten verteilt. Heute stehen Unternehmen Schlange beim regionalen Registrar, um auch nur einen kleinen Teil des Adressraums zu erhalten. Auf dem Schwarzmarkt kostet eine IP zwischen 13 und 25 Dollar, weshalb sich die Registrarien gegen eine Vielzahl von Schattenbrokern wehren, deren Geschäftsmodell darin besteht, neue Blöcke von IP-Adressen unter einem Vorwand zu erhalten und diese dann an Spammer weiterzuverkaufen. Im Mai 2019 gelang es dem regionalen Registrar ARIN, IP-Adressen von einem Schattenbroker zu beschlagnahmen,gegen den Anklage erhoben wurde.

Etwa 735.000 IP-Adressen wurden zurück ins Register gebracht. Dies ist der erste Fall, in dem IP-Adressen von Betrügern nach einem Gerichtsverfahren beschlagnahmt werden.

Am 14. Mai erhob die Staatsanwaltschaft von South Carolina Anklage gegen Amir Golestan wegen Betrugs unter Nutzung elektronischer Kommunikationsmittel (Wire Fraud), den er über seine Firma Micfo LLC und ein Netzwerk von Scheinfirmen durchgeführt hat. Auf diese wurden IPv4-Subnetze registriert, die dann an Spammer weiterverkauft wurden..

Im In der Anklageschrift wurden 20 Betrugsfälle aufgelistet. In einigen Fällen wurde der Preis, zu dem Golestan Adressen verkauft hat, angegeben. Beispielsweise verkaufte er ein Subnetz mit 65.536 Adressen für 13 Dollar pro Stück und erzielte damit 851.896 Dollar. Er hatte einen weiteren Vertrag über den Verkauf von 327.680 Adressen für 19 Dollar pro Stück mit einem Gesamtwert von 6,22 Millionen Dollar, aber die letzte Transaktion wurde blockiert.

Interessanterweise hat die Firma Micfo selbst Ende letzten Jahres ein Gerichtsverfahren eingeleitet und gegen ARIN (American Registry for Internet Numbers) geklagt. Zuvor hatte der Registrar Golestan über die Entdeckung der Scheinfirmen informiert und gedroht, etwa 735.000 IP-Adressen zurückzuziehen, wenn Micfo nicht bereit sei, mehr Informationen über ihre Geschäfte und Kunden bereitzustellen.

Da Micfo zu diesem Zeitpunkt bereits einen Teil der Adressen an Spammer verkauft hatte, weigerte sie sich, diese Informationen zur Verfügung zu stellen. Infolgedessen wies das Gericht den Antrag der Firma zurück..

Doch gemäß dem Vertrag, den Micfo mit ARIN unterzeichnet hat, musste jeder weitere Streitfall durch Schiedsgerichtsbarkeit geregelt werden. Am 13. Mai verpflichtete der Schiedsrichter Micfo zur Zahlung von 350.000 USD für die juristischen Dienstleistungen von ARIN und zur Rückgabe von 735.000 IP-Adressen, die das Unternehmen noch nicht verkauft hatte.

Hier ist eine Liste einiger Scheinfirmen und erfundenen Identitäten, die Golestan zur Verteilung von IPv4-Subnetzen erschaffen hat (aus Gerichtsdokumenten):

Für die Firmen und erfundenen Identitäten wurden Websites erstellt, E-Mail-Adressen registriert und so weiter. In ihrem Namen wurden bei ARIN Anfragen zur Erlangung von IPv4-Subnetzen eingereicht. In einem solchen Antrag muss das Unternehmen die Art seiner Geschäftstätigkeit beschreiben, die Namen der Mitarbeiter und andere Firmendaten auflisten. Golestan fälschte alle Dokumente.

Mit diesem Schema erlangte er von ARIN etwa 757.760 Adressen, deren Marktwert die Staatsanwaltschaft auf 9.850.880 bis 14.397.440 USD schätzte. Das Schema lief seit 2014. In der untenstehenden Tabelle sind die erfolgreichen Anfragen an ARIN zur Zuteilung von IP-Bereichen aufgeführt, während Golestan ab 2017 begann, die Adressen zu verkaufen.

Laut Pressemitteilung von ARIN, registrierte Micfo 11 Scheinfirmen in den gesamten USA und schuf absichtlich falsche Identitäten für die fiktiven Leiter dieser Firmen, um betrügerisch IPv4-Ressourcen von ARIN zu erlangen.

"Es war eine komplizierte Operation, — sagte Stephen Ryan, der ehemalige Bundesstaatsanwalt, der in diesem Gerichtsverfahren die Interessen von ARIN vertrat. — Alle elf Scheinfirmen von Micfo sind immer noch im Internet aktiv, wo Sie all diese großartigen Menschen sehen, die angeblich dort arbeiten. Und wir erhielten notariell beglaubigte Erklärungen für diese erfundenen Namen."

Unabhängige Experten sagen, dass Micfo nicht der einzige Schattenbroker ist, der betrügerisch Subnetze von ARIN abgezweigt hat. Über viele Jahre hinweg hat der American Registry for Internet Numbers nicht sehr aktiv gegen Betrug gekämpft.

Möglicherweise gibt es auch in Russland Schemen mit Scheinfirmen, obwohl es dort noch keine massiven Entnahmen von Subnetzen durch Schattenbroker gegeben hat. Um einen Block von /22 IPv4-Adressen bei dem europäischen Registrar RIPE NCC zu beantragen, muss man sich als lokale Registrierungsstelle des Internets registrieren (LIR) und die Mitgliedsgebühr bezahlen. Den Status LIR erhalten normalerweise Internetanbieter, Telekommunikationsunternehmen, große Unternehmen und akademische Institute. LIR erhalten Adressblöcke von RIPE NCC und vergeben IP-Adressen an ihre Kunden.

In Russland gibt es Beratungsunternehmen, die ihren Kunden helfen, LIR für eine geringe Gebühr von etwa 36.000 Rubel zu registrieren (zuzüglich jährlicher Unterstützung von 15.000 Rubel). Offensichtlich ist der Preis für einen Block von /22 IPv4-Adressen selbst bei der minimalen Schätzung von 12 USD pro Stück viel höher. Blöcke /22 werden verkauft und vermietet..

Es ist durchaus möglich, dass jemand ein ähnliches Geschäft betreibt. Laut Statistiken aus den Jahren 2012–2018stieg die Geschwindigkeit der Zuteilung von IPv4-Adressen in Europa gemäß einer quadratischen Funktion. RIPE NCC erklärt dies damit, dass immer mehr lokale Registrare registriert wurden. Die höchste Anzahl neuer LIR wurde im Vereinigten Königreich, in Deutschland und Russland registriert.

Im November 2015 verbot RIPE die Registrierung zusätzlicher lokaler Registrare durch Mitglieder von RIPE NCC,aber das half nicht, sodass die Beschränkung im Mai 2016 aufgehoben wurde. Bis zu diesem Zeitpunkt begannen Organisationen, neue juristische Personen zu registrieren, um Blöcke /22 zu erhalten. Berichten zufolge gelang es einem Mitglied von RIPE NCC, 66 Blöcke /22 zu erhalten, obwohl nur einer pro lokalem Registrar ausgegeben wurde.

Vor einem Jahr kündigte RIPE die Zuteilung des letzten Blocks /22 aus dem letzten Block /8, aber im Pool von RIPE NCC sind noch 9 Millionen "wiedergewonnene" Adressen (d.h. Adressen, die von ehemaligen Eigentümern zurückgenommen wurden). Nach Berechnungen des Koordinationszentrums reicht das noch für etwa zwei Jahre, wenn jeder lokale Registrar einen Block /22 erhält.

Zahlreiche Organisationen haben sich riesige IPv4-Bereiche registriert, die in der heutigen Zeit fast nicht genutzt werden und nicht zurückgegeben werden sollen (zum Beispiel 16,8 Millionen Adressen im Block 44.0.0.0/8, registriert angeblich für Amateurfunk,oder 218 Millionen IP-Adressen beim US-Verteidigungsministerium: 11.0.0.0/8, 22.0.0.0/8, 26.0.0.0/8, 28.0.0.0/8, 29.0.0.0/8, 30.0.0.0/8 und 33.0.0.0/8).

Andere Blöcke werden sehr intensiv genutzt. Zum Beispiel zeigt die Visualisierung mit Hilberkurven gut, wie der Adressraum von etwa 4,2 Milliarden (2³²) Adressen verteilt ist.

Verteilung des IPv4-Adressraums, April 2018 (klickbar)