Marcus Hutchins: Vom Malware-Entwickler zum WannaCry-Analysten

Hutchins beschreibt sich selbst nicht unbedingt als Hacker, akzeptiert die Bezeichnung aber als gängigen Begriff für das, was er früher getan hat. Nach eigenen Angaben trieb ihn vor allem das Bedürfnis an zu verstehen, wie Systeme funktionieren. Dieses Interesse führte früh tief in technische Themen: Nachdem er mit 13 seinen ersten Computer bekommen hatte, brachte er sich in den folgenden Jahren selbst VB, PHP, C, C++ und Assembly bei.

Der Preis dafür war laut Hutchins hoch. Für schulische Laufbahnen blieb wenig Raum, stattdessen entwickelte er sich nach eigener Schilderung vor allem zu einem Programmierer. Früh bewegte er sich in Cybercrime-Foren, wo seine Stärke nicht im eigentlichen Eindringen, sondern im Schreiben von Software lag. Er formuliert es selbst so, dass er eher „Hacks schrieb, statt zu hacken“.

Aus dieser Rolle heraus wurde er Teil einer Cybercrime-Gruppe. Dort arbeitete er nach eigener Aussage als Malware-Entwickler und pflegte Hintertüren sowie Code, der Antivirenprogramme unterlief und Sicherheitsmechanismen umging. 2013 startete er anonym den Blog MalwareTech, der die Funktionsweise von Schadsoftware erklärte und auch Machbarkeitsnachweise enthielt. Der Blog wurde sowohl bei Sicherheitsprofis als auch bei Cyberkriminellen bekannt; letztere bezahlten für seine Arbeiten, und Hutchins ließ das zu.

Hutchins schildert diese Phase nicht als bewusste Entscheidung für das „Böse“, sondern als Graubereich. Er habe zwar geahnt, dass seine Käufer nichts Gutes mit dem Code vorhatten, sei aber emotional auf Distanz geblieben, weil er die Folgen nicht direkt sah. Erst als er manchen Gruppen näherkam, die seinen Code einsetzten, habe er den angerichteten Schaden konkreter wahrgenommen. Daraufhin brach er nach eigener Darstellung die Kontakte ab und suchte eine legale Tätigkeit.

Über MalwareTech knüpfte er nicht nur Verbindungen in die kriminelle Szene, sondern auch zu Sicherheitsforschern. 2016 nahm er eine Stelle als Forschungs- und Entwicklungsleiter bei einer Firma in Los Angeles an und zog in die USA. Ein Jahr später stieß er bei der Analyse von WannaCry auf eine unregistrierte Domain im Code: iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea dot com. Solche Domains registrieren Forscher laut dem Quelltext häufig, um Malware besser beobachten zu können. Hutchins kaufte die Adresse für 10,69 Dollar.

Danach stellte er fest, dass die Domain im Minutentakt Zehntausende Anfragen erhielt. Während er noch untersuchte, was die Schadsoftware damit bezweckte, bemerkte er, dass WannaCry aufgehört hatte, sich weiterzuverbreiten. Die Domain fungierte als Kill Switch: Allein die Erreichbarkeit eines Webservers unter dieser Adresse und die Antwort mit dem Statuscode 200 genügten, um die Malware zu deaktivieren. Warum WannaCry so programmiert war, sei laut Quelltext bis heute nicht wirklich geklärt.

WannaCry basierte auf dem geleakten NSA-Exploit EternalBlue, der nach Systemen mit offenem SMB-Port suchte und über DoublePulsar eine Hintertür öffnete. Darüber lieferten die Angreifer ihre Ransomware aus. Die Verbreitungsroutine funktionierte effektiv, die Entschlüsselung jedoch nicht. Gerade deshalb beschreibt der Quelltext die Schadsoftware als besonders aggressiv und destruktiv.

Drei Monate nach WannaCry wurde Hutchins in Los Angeles vom FBI festgenommen. Es ging um frühere Taten, die er nach eigener Aussage längst eingestellt hatte. Er saß zunächst im Nevada Southern Detention Center in Untersuchungshaft. Nach einer Woche hinterlegte Tarah M. Wheeler, heute laut Quelltext unter anderem CSO bei der TPO Group, Vorstandsmitglied bei der EFF und CISO bei Red Queen Technologies, eine Kaution von 30.000 Dollar in bar, um seine vorläufige Freilassung zu erreichen.

Das Verfahren dauerte zwei Jahre. Am Ende bekannte sich Hutchins in zwei Punkten schuldig: Computer-Hacking und Werbung für ein Abhörgerät. Der Richter verurteilte ihn zu einem Jahr Bewährung. Der Quelltext legt nahe, dass das Gericht seine bereits erfolgte Rehabilitation anerkannte. Hutchins blieb danach in den USA und arbeitet heute mit 32 Jahren als Principal Threat Researcher bei Expel an Cyberbedrohungsaufklärung und Malware-Analysen.