Beim sogenannten ATM-Jackpotting öffnen die Täter die obere Abdeckung eines Geldautomaten, schließen ein eigenes Gerät an und installieren die Malware. Anschließend lässt sich das Gerät zur vollständigen Ausgabe seines Bargelds zwingen. Das US-Justizministerium hat im Zusammenhang mit diesem Vorgehen bereits Dutzende Personen festnehmen, anklagen und verurteilen lassen; insgesamt wurden 120 Personen beschuldigt.
Aguirre, der unter den Spitznamen „Prometheus“ und „The Engineer“ geführt wird, entzog sich dem Zugriff, seit das Justizministerium begann, Beteiligte des Jackpotting-Netzwerks anzuklagen. Im März wurde er auf die Liste der „Top 10 Most Wanted Fugitives“ des FBI gesetzt — als erster Cyberkrimineller überhaupt.
Zu den Umständen der Festnahme äußerte sich das Justizministerium zurückhaltend: Ein Sprecher wollte weder Zeitpunkt noch Ort nennen. FBI-Direktor Kash Patel erklärte, Aguirre sei nun „zurück in den Vereinigten Staaten, um sich der Justiz zu stellen“, und sprach wiederholt von der „Rückkehr des Flüchtigen in die Vereinigten Staaten“. Ein Sprecher des Justizministeriums bezeichnete es als „unzutreffend“, von einer Auslieferung zu sprechen, und bestätigte auf Nachfrage, dass Aguirre sich nicht in den USA befunden habe, aber nicht ausgeliefert worden sei. Eine Erklärung, auf welchem rechtlichen Weg er in die USA gebracht wurde, blieb aus. Fox News berichtete, er sei im vergangenen Monat in Venezuela festgenommen worden.
„Anibal Canelon Aguirre diente als zentraler Architekt hochentwickelter Schadsoftware, die genutzt wurde, um Geldautomaten in den gesamten Vereinigten Staaten leerzuräumen — Technologie, die die kriminellen Operationen der gewalttätigen transnationalen Organisation Tren de Aragua (TdA) mit befeuert hat“, sagte der stellvertretende Generalstaatsanwalt A. Tysen Duva.
Eine Bundes-Grand-Jury in Nebraska hatte Aguirre im Dezember vergangenen Jahres angeklagt. Die Vorwürfe lauten:
- Verschwörung zum Bankbetrug
- Verschwörung zum Bankeinbruch und Betrug im Zusammenhang mit Computern
- Geldwäsche
- materielle Unterstützung von Terroristen
Im Fall einer Verurteilung drohen ihm bis zu 70 Jahre Haft.
US-Behörden haben insgesamt mindestens 1.500 Jackpotting-Angriffe erfasst, die Schäden von 40,7 Millionen US-Dollar verursacht haben sollen. Aguirre und weitere Beteiligte sollen zwischen Februar 2024 und Dezember 2025 allein 117 Angriffe auf Banken und Kreditgenossenschaften verübt und dabei mehr als 5,4 Millionen US-Dollar erbeutet haben. Bevorzugt nahm die Gruppe Automaten an abgelegenen Standorten ins Visier, etwa in Nebraska und anderen US-Bundesstaaten. Laut Anklage beauftragte Aguirre typischerweise andere damit, zu den Geldautomaten zu fahren und sie zu öffnen, während die Malware aus der Ferne installiert wurde. Die vor Ort tätigen Täter behielten einen prozentualen Anteil der Beute und lieferten den Rest an Aguirre und weitere führende Figuren der Operation ab.
US-Behörden versuchen, viele der Jackpotting-Angriffe der venezolanischen kriminellen Gruppierung Tren de Aragua zuzuordnen. Die Erlöse aus den Geldautomaten-Diebstählen sollen an Mitglieder von Tren de Aragua weitergeleitet worden sein, die deren Herkunft verschleierten — entweder über Kryptowährungen oder durch Geldwäsche über Unternehmen, die sie in Mexiko und anderswo besitzen. Das Justizministerium hat wiederholt von „umfangreichen direkten und indirekten Verbindungen“ zwischen der bei den Angriffen eingesetzten Ploutus-Malware und Tren de Aragua gesprochen.
In der vergangenen Woche verhängte das US-Finanzministerium Sanktionen gegen Aguirre und mehrere weitere Personen, die Unternehmen und andere Mittel zur Wäsche der Erlöse aus dem Jackpotting-Schema genutzt haben sollen.
Sicherheitsforscher, die Ploutus seit mehr als einem Jahrzehnt verfolgen, konnten bislang nicht verifizieren, ob Aguirre tatsächlich der Entwickler der Schadsoftware ist. Ploutus gilt als eine der fortschrittlichsten auf Geldautomaten spezialisierten Malware-Familien; verschiedene Varianten werden seit 2013 gegen Automaten in Lateinamerika und den USA eingesetzt.