ECLI:NL:GHDHA:2021:587

Rolnummer: 22-003569-16 Parketnummer: 10-960167-13 Datum uitspraak: 30 maart 2021 TEGENSPRAAK Gerechtshof Den Haag meervoudige kamer voor strafzaken Arrest gewezen op het hoger beroep tegen het vonnis van de rechtbank Rotterdam van 20 juli 2016 in de strafzaak tegen de verdachte: [verdachte], geboren op [geboortedatum] 1970 te [geboorteplaats], volgens opgave van de verdachte ter terechtzitting in hoger beroep wonende te [adres]. Onderzoek van de zaak Dit arrest is gewezen naar aanleiding van het onderzoek op de terechtzittingen in eerste aanleg en het onderzoek op de terechtzittingen in hoger beroep van dit hof van 23, 24 en 25 november 2020 en van 8, 10, 12 en 19 februari 2021. Het hof heeft kennisgenomen van de vordering van de advocaat-generaal en van hetgeen door en namens de verdachte naar voren is gebracht. Procesgang In eerste aanleg is de verdachte ter zake van het onder 1. en 2 ten laste gelegde veroordeeld tot een gevangenisstraf voor de duur van 36 maanden, met aftrek van voorarrest. Voorts zijn beslissingen genomen omtrent de vorderingen van de benadeelde partijen en omtrent de in beslag genomen en nog niet teruggegeven voorwerpen, zoals nader omschreven in het vonnis waarvan beroep. Namens de verdachte is tegen het vonnis hoger beroep ingesteld. Tenlastelegging Aan de verdachte is – na wijziging van de tenlastelegging ter terechtzitting in eerste aanleg - ten laste gelegd dat: 1. hij, op een of meer tijdstippen in of omstreeks de periode van 4 mei 2012 tot en met 21 oktober 2013, te Utrecht en/of Amsterdam en/of Haarlem en/of Maastricht en/of Emmen en/of Zwolle en/of Roden en/of Alkmaar en/of Woubrugge, althans in Nederland en/of in Groot-Brittannië, tezamen en in vereniging met een ander of anderen, althans alleen, van het plegen van witwassen een gewoonte heeft gemaakt, door van (een) voorwerp(en), te weten (een) geldbedrag(

1. en)(ongeveer 279.873,67 zegge tweehonderd negenenzeventig duizend en achthonderd drieënzeventig komma zevenzestig euro) en/of een of meer Bitcoins, althans digitale ‘wallets’ inhoudende de digitale ‘currency’ bitcoins, de werkelijke aard, de herkomst, de vindplaats, de vervreemding en/of de verplaatsing te verbergen en/of te verhullen, althans door te verbergen en/of te verhullen wie de rechthebbende op een voorwerp, te weten voornoemde (een) geldbedrag(
2. en)en/of Bitcoins, althans digitale ‘wallets’ inhoudende de digitale ‘currency’ bitcoins zijn/waren en/of door te verbergen en/of te verhullen wie voornoemde voorwerp(
3. en)voorhanden had, immers, heeft/hebben verdachte en/of zijn mededader(
4. s)(voornoemd(
5. e)geldbedrag(
6. en)verkregen door -het (laten) versturen van (grote hoeveelheden) e-mailberichten (zogenaamde ‘spamruns’) waardoor computers van derden zijn geïnfecteerd met (Torrat) malware en/of (vervolgens) -de mogelijkheid verkregen het online betalingsverkeer tussen de klant en de bank te manipuleren en/of (vervolgens) die gelden (onder valse omschrijvingen) naar andere bankrekeningen overgeschreven en/of (laten) overschrijven dan waartoe opdracht was gegeven, althans gelden (onder valse omschrijvingen) heeft overgeschreven en/of (laten) overschrijven waar de klant geen opdracht toe had gegeven en/of vervolgens -dat/die geldbedrag(
7. en)meermalen doorgeboekt/overgeboekt naar (buitenlandse en/of zakelijke) bankrekeningen die (indirect) door hem en/of zijn mededaders werden beheerd en/of gecontroleerd en/of gebruikt en/of (vervolgens) -dat/die geldbedrag(
8. en)van die bankrekeningen opgenomen in contanten (ter doorbreking van de papertrail) en/of -de digitale banktegoeden en/of contante bedragen omgezet naar ‘bitcoins’, althans met die geldbedragen ‘bitcoins’ gekocht en/of verkocht en/of beheerd in diverse niet op de natuurlijke persoon tenaamgestelde ‘wallets’, en/of -een door middel van oplichting/phising van [belangenorganisatie] verkregen geldbedrag (ongeveer 8.155,00 zegge acht duizend en honderd en vijfenvijftig euro) doorgeboekt/overgeboekt naar (een) bankrekening(
9. en)die (indirect) door hem en/of zijn mededaders werd(
10. en)beheerd en/of gecontroleerd en/of gebruikt en/of (vervolgens) met dat geldbedrag gouden munten gekocht en/of beheerd, welke geldbedrag(
11. en)en/of ‘bitcoins’- middellijk of onmiddellijk - van misdrijf afkomstig zijn, en/of heeft/hebben verdachte en/of zijn mededader(
12. s)gebruik gemaakt van diverse bankrekeningen op naam van diverse moneymules en/of via die bankrekeningen geld ontvangen en/of overgeboekt of laten overboeken, welke banktegoeden en/of geldbedragen en/of banktransacties (deels) -middellijk of onmiddellijk - afkomstig waren van enig misdrijf, welke voornoemde handelingen door verdachte en/of zijn mededader(
13. s)zijn verricht om daarmee de werkelijke aard, de herkomst, de vindplaats, de vervreemding en/of de verplaatsing te verbergen en/of te verhullen en/of te verbergen en/of te verhullen wie de rechthebbende op voornoemd(
14. e)voorwerp(
15. en)was/waren en/of te verhullen wie voornoemd(
16. e)voorwerp(
17. en)(daadwerkelijk, althans mede) voorhanden had(den) en/of voornoemde voorwerp(en), te weten (een) geldbedrag(
18. en)(ongeveer 279.873,67 zegge tweehonderd negenenzeventig duizend en achthonderd drieënzeventig komma zevenzestig euro) en/of een of meer Bitcoins, althans digitale ‘wallets’ inhoudende de digitale ‘currency’ bitcoins, verworvenen/of voorhanden gehad en/of overgedragen en/of omgezet en/of daarvan gebruik gemaakt, terwijl hij en/of zijn mededader(
19. s)wist(en), althans redelijkerwijs moest(
20. en)vermoeden dat dat/die voorwerp(
21. en)- onmiddellijk of middellijk - (deels) afkomstig was/waren uit enig misdrijf; 2. Hij, op een of meer tijdstip(pen) in of omstreeks de periode van 4 mei 2012 tot en met 21 oktober 2013 in Utrecht, Amsterdam, Haarlem, Maastricht, Emmen, Zwolle, Roden, Alkmaar, Woubrugge, althans in Nederland en/of in Groot-Brittannië, tezamen en in vereniging met (een) ander(en), althans alleen, heeft deelgenomen aan een organisatie, welke organisatie tot oogmerk had het plegen van misdrijven, namelijk het -opzettelijk en wederrechtelijk toegang verschaffen tot een geautomatiseerd werk (strafbaar gesteld in artikel 138ab Wetboek van Strafrecht); -opzettelijk en wederrechtelijk toegang belemmeren tot een geautomatiseerd werk of daaraan gegevens aan te bieden of toe te zenden (strafbaar gesteld in artikel 138b Wetboek van Strafrecht) -opzettelijk en wederrechtelijk met technisch hulpmiddel gegevens, die worden overgedragen of bewerkt middel een geautomatiseerd werk, aftappen of opnemen (strafbaar gesteld in artikel 139c Wetboek van Strafrecht); -opzettelijk in een geautomatiseerd werk een technisch hulpmiddel aanwezig doen zijn met oogmerk om geautomatiseerde gegevens af te tappen of op te nemen (strafbaar gesteld in artikel 139d Wetboek van Strafrecht); -opzettelijk beschikken over een voorwerp waarvan hij weet/redelijkerwijs moet vermoeden dat daarop gegevens zijn vastgelegd die door onrechtmatig afluisteren, aftappen en/of opnemen zijn verkregen (strafbaar gesteld in artikel 139e Wetboek van Strafrecht); -diefstal door twee of meer verenigde personen en/of door middel van een valse sleutel (strafbaar gesteld in 311 lid 1 onder 4 en 5 Wetboek van Strafrecht); -door samenweefsel van verdichtselen en listige kunstgrepen de klanten van bankinstellingen bewegen tot afgifte van (TAN) codes ter signering van betalingen via internetbankieren (strafbaar gesteld in artikel 326 Wetboek van Strafrecht); -witwassen als bedoeld in artikel 420bis en/of 420ter en/of 420quater Wetboek van Strafrecht; van welke organisatie verdachte (mede-) oprichter en/of (mede-) leider en/of (mede-)bestuurder was. Standpunt van de advocaat-generaal De advocaat-generaal heeft geconcludeerd tot vernietiging van het vonnis waarvan beroep en heeft gevorderd dat de verdachte ter zake van het onder 1 en 2 tenlastegelegde wordt veroordeeld tot een gevangenisstraf voor de duur van 36 maanden, met aftrek van voorarrest, waarbij rekening is gehouden met een strafvermindering van vier maanden vanwege de overschrijding van de redelijke termijn. Het vonnis waarvan beroep Het vonnis waarvan beroep kan niet in stand blijven omdat het hof zich daarmee niet verenigt. Overwegingen van het hof 1 1. De feiten Centraal in deze zaak staat een malware die in 2012 en 2013 door middel van spamruns en het internet werd verspreid en die TorRAT wordt genoemd. Deze malware had tot doel om fraude te plegen bij (rekeninghouders van) [benadeelde partij 1] (hierna: ‘[benadeelde partij 1]’) en [benadeelde partij 2] (hierna: ‘[benadeelde partij 2]’). Kort gezegd komt het erop neer dat grote aantallen spammails met veelal aanmaningen of voorstellen voor een betalingsregeling werden verzonden. In die mails zat ogenschijnlijk een link naar een openstaande factuur of ander (PDF-)bestand, maar in werkelijkheid betrof het een programma dat de malware op de computer van iedere gebruiker installeerde die op die link klikte. De malware werd door een Command and Control server (hierna: ‘C&C-server’) op het internet aangestuurd. Bij het gebruik van internetbankieren op een besmette computer kon zo het bankrekeningnummer, de naam van de begunstigde en de omschrijving van de betaling worden aangepast, zonder dat dit voor de gebruiker van die computer (direct) zichtbaar was. Op deze wijze konden betalingen door de TorRAT-malware worden gewijzigd en omgeleid naar de bankrekeningen van zogeheten moneymules. Het voorgaande blijkt uit de aangiften van [benadeelde partij 2] (BM 1 e.v.) en [benadeelde partij 1] (BM 3 e.v.) en uit onderzoek van Fox-IT (BM 23 e.v.), de politie (BM 25 e.v. en 33) en Trendmicro (BM 30) en staat op zich ook niet ter discussie. 2Het juridisch kader Het hof stelt voorop dat blijkens de tekst van de tenlastelegging aan de verdachte in de kern het verwijt wordt gemaakt zich te hebben schuldig gemaakt aan het medeplegen van (gewoonte-)witwassen. Daarbij passen ook de in de tenlastelegging opgevoerde wetsartikelen. De gedragingen die erop gericht zouden zijn geweest het zicht te bemoeilijken op de herkomst van het ‘voorwerp’ van het witwassen, uitgewerkt als een geconcretiseerd geldbedrag in euro’s en/of bitcoins, zijn in de derde alinea opgenomen. Die alinea bestaat uit een zestal gedragingen, elk ingeleid met een gedachtestreepje. Niet al die gedragingen kunnen echter als uitwerking worden gezien van het verbergen en/of verhullen van dat zicht. Dat geldt uitsluitend voor de gedragingen, zoals genoemd achter de gedachtestreepjes 3 tot en met 6. De gedragingen, zoals genoemd achter de eerste twee gedachtestreepjes, hebben betrekking op de fase die is voorafgegaan aan de witwasgedragingen en concretiseren de wijze waarop de verdachte en zijn medeverdachten het geldbedrag en/of bitcoins tot hun beschikking hebben gekregen, te weten het via spamruns infecteren van computers met TorRAT-malware waardoor het online betalingsverkeer tussen banken en klanten werd gemanipuleerd zodanig dat gelden werden overgemaakt naar andere bankrekeningen dan waartoe door de klant opdracht was gegeven. Waar de gedragingen, zoals genoemd achter de gedachtestreepjes 3 tot en met 6, derhalve relevant zijn voor bewezenverklaring van het tenlastegelegde witwassen, geldt dat niet voor de gedragingen achter de gedachtestreepjes 1 en 2. Ook als die gedragingen niet bewezen mochten kunnen worden, laat dat onverlet dat witwassen zou kunnen worden bewezen op grond van de gedragingen, zoals genoemd achter de gedachtestreepjes 3 tot en met 6. Omgekeerd geldt dat eventuele bewezenverklaring van de gedragingen, zoals genoemd achter de gedachtestreepjes 1 en 2, weliswaar een context kan betekenen voor betrokkenheid bij enig specifiek ander strafbaar feit maar kan dat niet leiden tot bewezenverklaring van enig ander strafbaar feit dan het tenlastegelegde (gewoonte-)witwassen. Mocht dat wel de bedoeling zijn geweest, had de tenlastelegging mede op dat andere strafbare feit of die andere strafbare feiten toegesneden moeten zijn. Dat is niet gebeurd. Een zoekslag in de jurisprudentie in relatie tot gedragingen, zoals genoemd achter de gedachtestreepjes 1 en 2, leert dat dergelijke gedragingen meer dan eens als afzonderlijke strafbare feiten in de tenlastelegging zijn opgenomen. Het achterwege blijven daarvan in de onderhavige tenlastelegging versterkt de indruk dat het beperken van de tenlastelegging tot (gewoonte-)witwassen op een bewuste keuze berust. 3 3. Het causale verband Wat met betrekking tot de feitelijke toedracht wel in geschil is, is of de overboekingen genoemd in (de bijlagen bij) de aangiften van [benadeelde partij 2] en [benadeelde partij 1] het gevolg zijn van TorRAT. De advocaat-generaal stelt dat dit het geval is. Zij heeft ter onderbouwing daarvan verwezen naar het bij requisitoir in eerste aanleg overgelegde overzicht met diverse dwarsverbanden van verschillende onderzoeksbevindingen. De verdediging heeft betoogd dat de causaliteit zich niet laat vaststellen. De verdediging heeft in dit verband gesteld dat ten aanzien van de door de banken in dan wel bij de aangiftes genoemde transacties aannemelijk moet zijn dat deze transacties met een redelijke mate van waarschijnlijkheid door TorRAT zijn veroorzaakt (scenario 1) en de kans dat deze door andere malware zijn veroorzaakt zo klein is, dat daaraan als hoogst onwaarschijnlijk kan worden voorbijgegaan (scenario 2). Meer in het bijzonder is aangevoerd dat uit de aangiften en rapportages van Fox-IT niet blijkt hoe deze causaliteit is vastgesteld en dat ook uit de getuigenverhoren niet duidelijk is geworden wie de bijlagen bij de aangiften heeft opgesteld en op welke wijze dat is gebeurd. Verder is er in dit verband op gewezen dat getuige/deskundige Sandee tegenover de rechter-commissaris heeft aangegeven wat er nodig is om de causaliteit vast te stellen en dat het overzicht van de officier van justitie daaraan niet voldoet. Meer in het algemeen is betoogd dat uit het dossier blijkt dat er in de pleegperiode verschillende virussen actief waren die gericht waren op banken en dat onvoldoende duidelijk is hoe de banken de in de aangiften genoemde bedragen aan TorRAT hebben toegeschreven. Het hof ziet geen grond om de door de verdediging bepleite maatstaf te hanteren. Nu sprake is van een alternatieve causaliteit, gaat het erom dat per transactie wordt beoordeeld of de vaststelling dat een transactie is beïnvloed (zoals hierna zal blijken ging het om legitieme transacties die door de malware werden aangepast , waar hierna in verband met transacties de term ‘veroorzaakt’ wordt gebruikt is dat bedoeld in de betekenis dat het gaat om transacties die door TorRAT zijn aangepast) door TorRAT, kan worden gedaan binnen een aanvaardbare zekerheidsmarge. Nu sprake is van een veelheid aan transacties met wisselende eigenschappen kan niet in algemene termen worden aangegeven welke factoren daarvoor bepalend zijn. Daarom zal per (cluster van) transactie(
22. s)worden aangeven welke feiten en omstandigheden hebben geleid tot de vaststelling of deze wel of niet aan TorRAT kunnen worden toegeschreven. Omschrijving werking TorRAT Inleiding Uitgangspunt van deze zaak zijn de aangiftes van de banken ([benadeelde partij 2] en [benadeelde partij 1]). Bij en in die aangiftes wordt een grote hoeveelheid transacties genoemd die volgens die aangiftes zouden zijn veroorzaakt door TorRAT. De toerekeningsvraag Ter toetsing ligt thans derhalve de vraag voor of de betalingen die in en bij de aangiften worden genoemd als zijnde veroorzaakt door TorRAT (hierna: ‘de transacties’), inderdaad door TorRAT zijn veroorzaakt of door een andere malware (verder aan te duiden als: de toerekeningsvraag). De verdediging voert terecht aan dat niet duidelijk is geworden aan de hand van welke criteria de transacties door de aangevers als zodanig zijn aangemerkt. Dit betekent dat niet reeds op basis van die aangiften aangenomen kan worden dat het inderdaad gaat om transacties die zijn veroorzaakt door TorRAT. Het hof heeft in dit verband opdracht gegeven tot het uitbrengen van een rapport door ir. R. Schramp, als onderzoeker verbonden aan het Nederlands Forensisch Instituut (hierna: de deskundige). Daarnaast heeft de deskundige ter terechtzitting een verklaring afgelegd. De deskundige heeft opdracht gekregen om nader onderzoek te verrichten dat betrekking diende te hebben op “de relatie in termen van waarschijnlijkheid en causaliteit tussen de door Fox-IT in de betreffende relevante periode gesignaleerde zogenaamde TorRAT-software (voor zover daarvan configuratiedocumenten zijn gemaakt) en eventuele andere in dezelfde periode actieve banking malware enerzijds, en frauduleuze overboekingen vanaf bepaalde in het dossier voorkomende [benadeelde partij 2]- en [benadeelde partij 1]-bankrekeningen anderzijds”. Daartoe heeft de deskundige de concrete vraag voorgelegd gekregen om dit onderzoek te verrichten ten aanzien van een twintigtal specifieke transacties. In zijn rapport zet de deskundige onder meer de werking van met name de configuratiebestanden die door TorRAT werden gebruikt uiteen en geeft hij op grond van een Bayesiaanse analyse voor alle aan hem voorgelegde transacties een waarschijnlijkheidsoordeel met betrekking tot de twee hiervoor genoemde scenario’s. Het hof zal bij de beantwoording van de toerekeningsvraag weliswaar gebruik maken van een aantal bevindingen van de deskundige, maar zal - zoals reeds hiervoor tot uitdrukking gebracht - specifiek aangeven welke transacties op welke gronden aan TorRAT kunnen worden toegeschreven. De deskundige heeft in zijn rapport immers gesteld dat het combineren van de bewijswaarde van transacties in relatie tot elkaar (bijvoorbeeld de betalingskenmerken van een groep overboekingen), of de relatie tot andere moneymules, nog gewogen moet worden, maar dat dat buiten het digitale domein valt, en dat de invloed van deze sporen een sociaal-economisch effect is dat te maken heeft met het samenwerkingsverband, werven en delen van moneymules. Het hof zal derhalve méér elementen in de beoordeling van de toerekeningsvraag betrekken dan de deskundige heeft kunnen doen. Het hof zal met name gebruik maken van de bevindingen van de deskundige op het gebied van de werking van de van TorRAT deel uitmakende configuratiebestanden. Ter toelichting daarop dient het volgende. Eenvoudig weergegeven bestond TorRAT uit twee elementen, de software zelf en configuratiebestanden. Voor de toerekeningsvraag zijn deze laatste in het bijzonder van belang. Na installatie van de software op een computer als gevolg van het klikken op een link in een spammail zocht de aldus geïnfecteerde computer contact met een C&C-server. Uniek aan TorRAT was dat deze C&C-server zich veelal bevond in een Tor-netwerk (ook bekend als het Darkweb of Darknet). De C&C-server voorzag TorRAT regelmatig van nieuwe configuratiebestanden. De exacte functie en werking daarvan zal hierna worden uiteengezet. De bruikbaarheid van de bevindingen van de deskundige De verdediging heeft gesteld dat sprake lijkt te zijn van een weinig wetenschappelijk verantwoorde manier van onderzoek, doordat de deskundige als basis voor zijn onderzoek gebruik heeft gemaakt van bestanden die vermeld worden op bladzijde 27 van het rapport van Fox-IT “Werking van de TorRat malware” (hierna: ‘het Fox-IT rapport’), die hij heeft gedownload van de website ‘malshare.com’, terwijl de bron van bestanden die naar die site worden geüpload niet gecontroleerd of geverifieerd kan worden. Volgens de verdediging kunnen dergelijke sites niet als grondslag voor wetenschappelijk onderzoek fungeren. Dit standpunt berust op enkele misvattingen en zal daarom worden gepasseerd. In de eerste plaats miskent de verdediging dat de deskundige niet zomaar bestanden van de website malshare.com heeft gedownload, maar gebruik heeft gemaakt van de in het Fox-IT rapport op bladzijde 28 vermelde MD5-hashwaardes van de betreffende bestanden. De deskundige heeft ter terechtzitting hierover verklaard: “(…) ik acht de kans dat een ander programma met exact dezelfde bestandskenmerken toevallig in dezelfde database voorkomt nihil. Dus in dit geval zou ik zeggen: het zijn dezelfde bestanden.” Daarnaast is het onderzoek door de deskundige (en dat geldt in nog sterkere mate voor de beoordeling door het hof van de toerekeningsvraag) toegespitst op de werking van de configuratiebestanden. De door de verdediging aangehaalde bestanden die worden vermeld op bladzijde 27 e.v. van het Fox-IT rapport betreffen de TorRAT bot-files - hiervoor ook aangeduid als ‘de software zelf’ - en hebben voor de conclusies in het deskundigenrapport met betrekking tot de waarschijnlijkheid van de onderzochte scenario’s geen dan wel hoogstens een verwaarloosbare relevantie. Andere dadergroep? Door de verdediging is betoogd dat er zich in het dossier aanwijzingen bevinden dat een andere dadergroep achter TorRAT de transacties kan hebben verricht. Daartoe is erop gewezen dat een anoniem gebleven persoon delen van TorMailboxen aan de politie heeft overhandigd, en dat dat – zo begrijpt het hof de vrij speculatief geformuleerde stellingname van de verdediging op dit punt – duidt op iemand die nauw bij TorRAT betrokken was en er belang bij had om de verdachte en zijn medeverdachten voor TorRAT te laten opdraaien. Het gesuggereerde scenario dat een andere dadergroep dan de groep van de verdachte en zijn medeverdachten met toepassing van TorRAT de transactie heeft beïnvloed, vergt het doen van de nodige aannames. TorRAT voor anderen beschikbaar? In de eerste plaats moet worden aangenomen dat (de broncode van) TorRAT voor die andere dadergroep beschikbaar was. Aanwijzingen hiervoor ontbreken. De verdediging heeft betoogd dat een andere banking malware, bekend als ZeuS of Zeus (hierna: ‘ZeuS’), op nagenoeg dezelfde wijze als TorRAT opereerde. Voor die aanname kan echter geen steun aan de deskundige worden ontleend. Deze heeft ter zitting verklaard dat ZeuS op conceptueel niveau op dezelfde wijze werkt als TorRAT, in die zin dat zowel TorRAT als ZeuS zich nestelen in de webbrowser en documenten die van de bank ontvangen worden, herkennen en ‘on the fly’ aanpassen. Deze methode staat ook wel bekend als ‘man-in-the-browser’, en was in de tenlastegelegde periode niet uniek. De deskundige heeft in zijn rapport (blz. 5) gesteld dat het voor bijvoorbeeld de malwarefamilie ZeuS gebruikelijk was dat meerdere dadergroepen dezelfde malware gebruikten, omdat van ZeuS de broncode in mei 2011 gelekt werd. Vanaf dat moment kon iedereen met voldoende technische kennis een ZeuS-malwarecampagne starten. In het Fox-IT rapport wordt (op blz. 7) geconstateerd: “het ging bij deze aanval (het hof begrijpt: de aanval door TorRAT) om een eigengemaakte Java exploit en ook op dat moment een onbekende variant van malware. Fox-IT heeft de onbekende malware als referentie naam TorRat gegeven.” De situatie die zich voordeed was derhalve niet - zoals bij ZeuS wel voorkwam - dat een bekende malware-variant door een nieuwe dadergroep werd hergebruikt, maar dat een unieke malware-variant werd geïntroduceerd. Voor de stelling dat daarbij op dat moment twee verschillende en in beginsel concurrerende dadergroepen betrokken waren, bestaan niet alleen geen aanwijzingen, maar deze is in zijn algemeenheid ook niet aannemelijk. In dat verband is het volgende van belang. In alle versies van TorRAT werden als C&C-server twee .onion-URL’s gebruikt, doorgaans als primaire C&C-servers en enige tijd als secundaire C&C-servers. Deze .onion-URL’s waren in alle bekende versies van de TorRAT-bot-files identiek, namelijk http://[URL 1].onion en http://[URL 2].onion. De deskundige heeft hierover in zijn rapport opgemerkt dat om met een malwarecampagne geld te kunnen verdienen de persoon die een dergelijke campagne start een C&C-server moet beheren om de geldstromen te richten op zijn eigen gewin en niet op het gewin van anderen. Daarom is het delen van een C&C-server heel ongebruikelijk, aldus de deskundige (blz. 6 rapport). Ter toelichting hierop merkt het hof het volgende op. De feitelijke werking van TorRAT was volledig afhankelijk van de inhoud van configuratiebestanden die vanaf de C&C-server naar de met TorRAT geïnfecteerde computers werden verzonden (uit de verklaring van de deskundige en het Fox-IT rapport blijkt immers dat het verspreiden van configuraties naar de met TorRAT geïnfecteerde computers plaatsvond door het versturen van het commando ‘dc’ (download config) door de C&C-server, waarna de geïnfecteerde computers de configuratiebestanden downloadden.) Het initiatief voor het vernieuwen van de configuratiebestanden, en daarmee de verantwoordelijkheid voor de inhoud daarvan en dus ook voor de werking van TorRAT, lag bij de (beheerder van) de C&C-server, zo bevestigt de deskundige (blz. 5 rapport). In dat verband is ook van belang dat de deskundige in zijn verklaring ter zitting heeft uiteengezet dat de beheerder van een C&C-server in het algemeen niet wil dat een ander deze overneemt en dat het daarom voor de hand ligt dat deze door middel van een wachtwoord wordt afgeschermd tegen het gebruik door onbevoegden. De URL’s Een andere aanwijzing die de verdediging ziet ter onderbouwing van de stelling dat een andere dadergroep achter TorRAT de transacties kan hebben verricht, is het aantreffen van niet-.onion-URL’s in de malware. Dit heeft de volgende achtergrond. De deskundige heeft vastgesteld dat in de TorRAT-bot-files naast de .onion-URL’s ook een aantal andere URL’s voorkwamen, te weten: [URL 3] [URL 4] [URL 5] [URL 6] [URL 7] [URL 8] [URL 9] [URL 10] De deskundige heeft deze URL’s verkregen door in een met het programma Cuckoo geactiveerde sandbox alle door hem via de website malshare.com verkregen malware actief te maken, vervolgens een RAM-dump te maken en daarin te zoeken op tekst beginnend met “http”. Om te voorkomen dat dit een heel lange lijst zou opleveren heeft de deskundige vervolgens alle URL’s verwijderd die niet in de context van de .onion-URL’s stonden. De functies van deze URL’s heeft de deskundige niet kunnen testen, maar hij heeft aangegeven te verwachten dat het hier gaat om reserve-C&C’s voor het geval de .onion-routers onbereikbaar zijn. De verdediging ziet hierin een aanwijzing dat sprake is geweest van tenminste twee verschillende groepen C&C-servers, en stelt dat dat waarschijnlijker is in het scenario dat meerdere dadergroepen achter TorRAT schuilgingen, en atypisch in een scenario waarin slechts één dadergroep de TorRAT-malware opereerde. Naar het oordeel van het hof vormt deze bevinding niet zonder meer een grondslag voor de veronderstelling dat van meer dan één dadergroep sprake is geweest. De deskundige heeft op nadere vragen geantwoord dat hij niet zeker weet wat de functie van de URL’s was. Tegenover dit niet-onderzochte vermoeden staat de bevinding van Fox-IT dat TorRAT via een proxy-server met de C&C-server communiceerde. Zo wordt op bladzijde 8 van het Fox-IT rapport gesteld: “De manier waarop de malware verbinding maakt met Tor is door gebruik te maken van een apart component wat wordt gedownload door TorRAT. Deze tor module was beschikbaar op: [URL 6] (…) ar.gif is een executable PE file, wat zichtbaar is in de header, van 2897422 bytes welke op TCP poort 52300 luistert naar verbindingen en als proxy fungeert naar het Tor netwerk. De TorRAT trojan maakt, indien een .onion URL wordt gebruikt als control server, gebruik van deze Tor proxy. Deze Tor proxy draait op het systeem als het proces trupd .exe.” Op bladzijde 31 van hetzelfde rapport worden de volgende uit de TorRAT Windows-executables afkomstige URL’s genoemd die wijzen naar de Tor-proxycomponent van TorRAT: [URL 6] [URL 11] [URL 7][URL 4] [URL 12] [URL 13][URL 5] Uit het dossier blijkt dat met betrekking tot laatstgenoemde URL nader onderzoek is verricht (BM A). Hieruit kwam naar voren dat de eigenaar van de betreffende website op de hoogte was van de aanwezigheid van een Tor proxy en dat de hosting provider de website inmiddels offline had gehaald in afwachting van de verwijdering van de Tor proxy. Ook voor de URL [URL 11] is een dergelijke ‘fysieke’ bevestiging voorhanden, namelijk in een ander Fox-IT rapport genaamd “[INTEL-93] Torrat - Massive targeted attack against Dutch companies” (hierna: ‘het INTEL-93 rapport’). Hierin wordt vermeld: “While the site of [URL 14] has been wiped version 121 links to the TOR proxy on [URL 11]. The owner of [URL 14] was informed yesterday and in panic has called and even personally visited the NCSC building.”(BM B). De eerste vijf door de deskundige aangetroffen URL’s worden door het hof op grond van het voorgaande aangemerkt als proxy-servers via welke TorRAT communiceerde met de C&C-servers met een .onion-URL als adres. Derhalve kan in het aantreffen van deze URL’s en meer in het bijzonder in het actief zijn van de C&C-servers, geen aanwijzing worden gevonden voor het actief zijn van meerdere dadergroepen via TorRAT. Met betrekking tot de drie laatste URL’s, eindigend op [URL einde], kan echter niet worden vastgesteld dat het om proxy-servers ging. Uit het Fox-IT rapport (m.n. paragraaf 3.4) blijkt dat op een zeker moment sprake was van actieve C&C-servers buiten het Tor-netwerk. Voor het eerst werd dit gezien op 31 oktober 2012, en vervolgens ook op 5, 7 en 29 november 2012. Dit komt overeen met de data die uit het logboek van de deskundige naar voren komen met betrekking tot de door hem waargenomen URL’s, te weten 12 en 29 november 2012. Het is op grond hiervan aannemelijk dat vanaf 31 oktober 2012 of kort daarvoor TorRAT ook aangestuurd kon worden door C&C-servers die zich niet in een Tor-netwerk bevonden. Of die C&C-servers ook daadwerkelijk daarvoor zijn gebruikt, blijkt overigens niet uit het dossier. De vraag is of deze constatering een ondersteuning vormt voor het scenario dat een andere dadergroep achter TorRAT de transacties kan hebben verricht. Het hof meent dat dat niet het geval is. Hiervóór is immers al uiteengezet dat een C&C-server een centrale en beslissende rol speelt in de werking van het geheel van door specifieke malware geïnfecteerde computers, ook wel aangeduid als een botnet. Tot 31 oktober 2012 was sprake van een botnet dat werd aangestuurd door een C&C-server die bereikbaar was via de meergenoemde .onion-URL’s. In het onderzochte door de verdediging opgeworpen scenario zouden de nadien waargenomen niet-.onion-URL’s hebben gediend voor het door een andere groep dan de verdachte en zijn medeverdachten toegang verkrijgen tot een C&C-server waarmee datzelfde botnet aangestuurd zou kunnen worden. Gezien de verklaring van de deskundige over het afschermen van een C&C-server door middel van een wachtwoord, is het niet aannemelijk dat derden onbevoegdelijk het TorRAT-botnet hebben overgenomen. Dit zou ongetwijfeld zijn opgemerkt door de ‘rechtmatige’ beheerder van dat botnet; er zouden dan immers door de C&C-server ‘onbekende’ configuratiebestanden moeten zijn verstuurd naar de geïnfecteerde computers, die transacties zodanig zouden moeten hebben beïnvloed dat deze naar niet tot de oorspronkelijke organisatie achter TorRAT behorende moneymules zouden hebben geleid. Het dossier biedt daarvoor geen enkele aanwijzing, en evenmin voor een variant op dit scenario, namelijk dat derden met medeweten en instemming van de verdachte en zijn medeverdachten van TorRAT gebruik zijn gaan maken. Moneymules op één moment actief voor niet meer dan één malware-toepassing Van belang voor de toerekeningsvraag is de vaststelling door het hof dat een moneymule, in een periode waarin naar een op zijn of haar naam staande bankrekening geld werd overgemaakt als gevolg van het door TorRAT manipuleren van transacties, niet in diezelfde periode tevens op dezelfde bankrekening geld kreeg overgemaakt door toedoen van enige andere banking-malware. Niet alleen bevat het dossier daarvoor geen enkele aanwijzing, het zou ook een aanzienlijke kans op problemen met het gescheiden houden van de verschillende geldstromen met zich brengen. Daar komt bij dat er geen goede redenen voor het creëren van dergelijke problemen lijken te zijn. Zoals hierna nog zal blijken, waren moneymules in het algemeen slechts gedurende een periode van een paar dagen actief voor de verdachte en zijn medeverdachten. Zou een moneymule ook voor een andere organisatie actief willen zijn, dan bestond daarvoor derhalve voldoende gelegenheid zonder het omschreven probleem te doen ontstaan. Ten aanzien van moneymules die hun betaalpas afgaven teneinde de verdachte en zijn medeverdachten in staat te stellen de door TorRAT-transacties op hun bankrekening terecht gekomen gelden direct op te nemen is een dergelijk ‘dienen van twee heren’-scenario fysiek onmogelijk. Bewijswaarde van kenmerken configuratiebestanden De deskundige heeft hierover in zijn rapport het volgende vastgesteld (paragraaf 5.3.3). Er moet een onderscheid worden gemaakt tussen de woorden en structuren van de transactiebeschrijvingen (de ‘vrije tekst’ die bij een overboeking kan worden vermeld door degene die de overboeking verricht) en de rekeningnummers. Beide elementen van een transactie werden door TorRAT gemanipuleerd. Daarbij vormen de rekeningnummers en de bijbehorende naam van de rekeninghouder (de moneymule) de kern, het aanpassen daarvan bewerkstelligde dat een betaling niet naar de beoogde begunstigde ging maar naar een voor de verdachte werkende persoon. Tegelijkertijd werd de als transactiebeschrijving ingevoerde tekst vervangen door een volledig door TorRAT gegenereerde tekst. De deskundige heeft daarom overwogen dat de bewijswaarde van een overeenkomst in het rekeningnummer van de begunstigde (de moneymule) hoger is dan de bewijswaarde van de transactiebeschrijving omdat een rekeningnummer geen vrij te kiezen veld is, maar een identificerend element van de transactie en deze overeenkomst daardoor niet op toeval kan berusten. In beginsel zou dit leiden tot een bewijswaarde ten opzichte van een willekeurige transactie tussen twee andere Nederlandse bankrekeningen in de categorie ‘zeer veel waarschijnlijker’. Omdat het niet uitgesloten is dat een moneymule ook betalingen ontvangt die niet door TorRAT zijn gemanipuleerd, heeft de deskundige de bewijswaarde ingeschat op ‘veel waarschijnlijker’. Hij heeft er, ook in zijn verklaring ter zitting, wel op gewezen dat factoren als de afwezigheid van een sociale relatie tussen de betalende partij en de moneymule en overeenkomsten met verschillende andere transacties naar hetzelfde rekeningnummer tot een hogere bewijswaarde zouden kunnen leiden. In het onderstaande overzicht zal het hof ook hieraan aandacht besteden. Welke moneymules worden in beschouwing genomen? Gezien de hiervoor beschreven werking van TorRAT neemt het hof als uitgangspunt dat overboekingen naar moneymules waarvan de gegevens blijken uit een configuratiebestand dat op instructie van de C&C-server is gedownload op een met TorRAT geïnfecteerde computer, door TorRAT zijn veroorzaakt, tenzij daarvoor sterke aanwijzingen van het tegendeel voorhanden zijn, op de dag waarop het betreffende configuratiebestand voor het eerst is aangetroffen en enkele dagen daarna. Hoeveel dagen na het eerste aantreffen van een specifiek configuratiebestand transacties nog aan TorRAT kunnen worden toegeschreven verschilt per geval en zal per geval worden aangegeven. In paragraaf 3.7 van het rapport van Fox-IT wordt een overzicht gegeven van deze configuratiebestanden en de daarin genoemde bankrekeningen/begunstigden. De juistheid van dat overzicht staat als zodanig niet ter discussie en het hof heeft ook geen enkele reden om daaraan te twijfelen. Daarnaast blijkt uit het dossier dat er moneymules zijn waarvan de gegevens niet uit bekend geworden configuratiebestanden naar voren komen, maar die wel op grond van hun eigen verklaring of ander bewijs met TorRAT in verband kunnen worden gebracht. Hierna zal steeds per moneymule worden aangegeven op welke grond het hof van oordeel is dat hij/zij gedurende een zekere periode geld op zijn/haar rekening bijgeschreven hebben gekregen door toedoen van TorRAT. Omschrijving van werking generatoren Uit het dossier blijkt ten aanzien van zes configuratiebestanden niet alleen wie daarin als moneymule is gedefinieerd, maar ook exact op welke wijze deze configuratiebestanden transactiebeschrijvingen genereerden. Weliswaar heeft de deskundige verklaard dat de bewijswaarde van transactiebeschrijvingen geringer is dan die van rekeningnummers, maar dat moet naar het oordeel van het hof worden gezien tegen de achtergrond dat aan de deskundige slechts een beperkte selectie van het totaal aantal voorhanden transacties is voorgelegd. In het navolgende zal een veel vollediger beeld van de respectieve transacties kunnen worden geschetst, waardoor de mogelijkheid om transactiebeschrijvingen met TorRAT in verband te brengen, groter is. Relevant daarbij is de volgende passage uit de verklaring van de deskundige ter zitting: “(…) ik wil er wel op wijzen dat er in de rapportage voor gekozen is om voorbeelden van beschrijvingen toe te voegen waardoor eigenlijk de beoordeling van de vraag of een transactie legitiem is of niet, door iedereen te doen is. U zou zelf een oordeel kunnen vormen door vast te stellen welke beschrijving TorRAT genereert en dan een willekeurige transactie pakken en kijken of die beschrijving wel of niet past. Voor een dergelijke beoordeling heeft u mij niet nodig.” Om inzichtelijk te maken hoe beoordeeld kan worden of een transactiebeschrijving verband houdt met TorRAT, is het nodig om met betrekking tot de genoemde zes bekende configuratiebestanden te omschrijven welke transactiebeschrijvingen deze konden genereren. De onderdelen van de configuratiebestanden die daarvoor verantwoordelijk waren, worden verder kortweg aangeduid als ‘generatoren’. De generatoren zijn, zoals geldt voor de configuratiebestanden als geheel, geprogrammeerd in de computertaal Javascript. De navolgende interpretatie daarvan is in overeenstemming met hetgeen daarover door de deskundige in zijn rapport en ter zitting is toegelicht. Blijkens hetgeen de deskundige daarover in zijn rapport en ter zitting heeft opgemerkt is de werking van de generatoren zoals hieronder uiteengezet. Configuratie 510 In Javascript luidt de generator: De generator fungeert als volgt: ● Eerst wordt een willekeurig woord uit deze reeks gekozen: ”Factuur”, “factuur”,“Factuurnr., “Boeking”, “factuurnr”,”“fac”, “Fac”, “facnr.”, “Bet:”. ● Daarna volgt een getal dat 1 op de 4 keer wordt voorafgegaan door een hekje(“return _rnd(1, 4) == 1 && (b += "#"). ● Het getal zelf heeft een willekeurige waarde van minimaal 10.270 en maximaal 50.000(“b += _rnd(10270, 5e4”). ● Tenslotte volgt er 1 op de 4 keer een getal met een willekeurige waarde van minimaal 100 en maximaal 900 voorafgegaan door een verbindingsstreepje (“_rnd(1, 4) == 1 && (b += "-" + _rnd(100, 900))”). Configuratie 518 In Javascript luidt de generator als volgt: De generator fungeert als volgt: ● Eerst wordt een willekeurig woord uit deze reeks gekozen:“Terugboeking”, “betaling”, “boeking gelden”, “Declaratie”, “zoals besproken”, “voorschot”, “voorschot gelden”, “betaling voorschot”, “Bet:”. ● Daarna volgt een getal met een willekeurige waarde van minimaal 100 en maximaal 5.000“return b += _rnd ( 100, 5e3)”. ● En er wordt een willekeurige naam uit deze reeks gekozen:“[moneymule 1]”, “[moneymule 1]”, “[moneymule 1]”. “[moneymule 1]”, “[moneymule 1]” “[moneymule 1]”. Configuratie 519 In Javascript luidt de generator als volgt: De generator fungeert als volgt: ● Eerst wordt een willekeurig woord uit deze reeks gekozen:“Terugboeking”, “betaling”, “boeking geld”, “declaratie”, “Salaris”, “voorschot geld”, “Storting”. ● Daarna volgt een getal met een willekeurige waarde van minimaal 1.000 en maximaal 50.000(return b += _rnd ( 1e3 , 5e4). ● En er wordt een willekeurige naam uit deze reeks gekozen:“[moneymule 2]”, “[moneymule 2]”, “[moneymule 2]”, “[moneymule 2]”, “[moneymule 2]”. Configuratie 530 In Javascript luidt de generator als volgt: De generator fungeert als volgt: ● Eerst wordt een willekeurig woord uit deze reeks gekozen: “iphone 4gs”, “videoscreen”, “videocamera”, “tekenset”, “tel centrale”, “samsung”, “bureaustoel”, “kast”, “vaatwasser”, “papier”, “airco”, “air unit”, “ipad 3”, “planten”, “atag vaatwasser”, “audiospeler”, “lcd screen”, “koeler”, “minivriezer”, “headsets”, “lampen”, “stationary”, “gift”, “laptop”, “nootbook”, “mac book”, “declaratie”, “armatuur”, “boekenkast”, “materiaal”, “workshop”, “videoscherm”, “iphone 3”, “samsung tel”, “tv”, “blackberry”, “nokia”, “computer”, “iphone 3gs”, “digicam”, “tablet”, “drankglobe”, “beamerscherm”, “galaxy 2”, “ladekast”, “bureaukast”, “display”, “wallpaper”, ”kroonluchter”, “securitysysteem”, “bewakingscamera”, “verwarmingsunit”, “telefoon”, “centrale”, “modem”, “quatrofox”, “wifiantenne”, “deursysteem”, “dell computer”, “ibm computer”, “pengifts”, “presentatiescherm”, “stoel creool”, “directiestoel”, “bureaust”, “2 kasten”, “deurdranger”, “raamdisplay”. ● En er wordt een willekeurige woord uit deze reeks gekozen dat wordt geplaatst vóór het woord uit de eerste reeks: ”betaling”, “Betaling”, “Bet”, “bet”, “overboeking”, “Overboeking”. Configuratie 712 In Javascript luidt de generator als volgt: De generator fungeert als volgt: ● Eerst wordt een willekeurig woord uit deze reeks gekozen: “iphone 4gs”, “videoscreen”, “videocamera”, “tekenset”, “tel centrale”, “samsung”, “bureaustoel”, “kast”, “vaatwasser”, “papier”, “airco”, “air unit”, “ipad 3”, “planten”, “vaatwasser”, “audiospeler”, “lcd screen”, “koeler”, “minivriezer”, “headsets”, “lampen”, “stationary”, “gift”, “laptop”, “nootbook”, “mac book”, “declaratie”, “armatuur”, “boekenkast”, “materiaal”, “workshop”, “videoscherm”, “iphone 3”, “samsung tel”, “tv”, “blackberry”, “nokia”, “compute”, “iphone 3gs”, “digicam”, “tablet”, “drankglobe”, “beamerscherm”, “galaxy 2”, “ladekast”, “bureaukast”, “display”, “wallpaper”, ”kroonluchter”, “securitysysteem”, “bewakingscamera”, “verwarmingsunit”, “telefoon”, “centrale”, “modem”, “quatrofox”, “wifiantenne”, “deursysteem”, “dell computer”, “ibm computer”, “acer computer”, “pengifts”, “presentatiescherm”, “stoel creool”, “directiestoel”, “bureaust”, “2 kasten”, “deurdranger”, “raamdisplay”. ● En er wordt een willekeurige woord uit deze reeks gekozen dat wordt geplaatst vóór het woord uit de eerste reeks: ”betaling”, “Betaling”, “Bet”, “bet”, “overboeking”, “Overboeking”, “Storting”. Configuratie 902 In Javascript luidt de generator als volgt: De generator fungeert als volgt: ● Eerst wordt een willekeurig woord uit deze reeks gekozen: “Factuur” , “factuur” , “fac”, “Fac”, “facnr.”, “Factuurnr.”, “Boeking” , “factuurnr” , “debnr.” ● Daarna volgt een getal dat 1 op de 4 keer wordt voorafgegaan door een “F”.(“return _rnd(1, 4 )== 1 && (b += "F"). ● Het getal zelf heeft een willekeurige waarde van minimaal 10.270 en maximaal 50.000(“b += _rnd(10270, 5e4”). ● Tenslotte volgt 1 op de 4 keer een getal met een willekeurige waarde van minimaal 100 en maximaal 900 voorafgegaan door een verbindingsstreepje(“_rnd(1, 4) == 1 && (b += "-" + _rnd(100, 900). De transacties nader beschouwd Algemene opmerkingen: ● Hoewel doorgaans sprake is van verschillende opdrachtgevers van een bankoverschrijving (hierna: overboekers), is er toch heel vaak een opvallende overeenkomst in transactiebeschrijvingen van transacties naar één moneymule die volledig past bij de werking van de verschillende generatoren. ● De transacties zijn doorgaans afkomstig van overboekers met een zakelijk karakter, zoals bedrijven. In dat verband is het opvallend dat deze soms in een zeer kort tijdsbestek een aantal verschillende betalingen doen aan particuliere klanten. ● Met betrekking tot een betaling door een zakelijke partij aan een particulier zijn transactiebeschrijvingen waarin het woord ‘factuur’ is verwerkt opmerkelijk, nu particulieren geen facturen plegen te versturen. ● Met betrekking tot meerdere betalingen door een zakelijke partij aan een particulier voor gebruiksvoorwerpen zijn transacties opmerkelijk, als deze kort na elkaar plaatsvinden. Opvallend is dat aparte betalingen worden gedaan, en dat daarbij geen uniforme formuleringen van de transactiebeschrijvingen worden gebruikt, ook niet als ze allemaal op hetzelfde tijdstip plaatsvinden. ● Soms is sprake van niet-natuurlijk taalgebruik, zoals ‘boeking geld’, ‘boeking gelden’ en ‘voorschot geld’. ● Waar sprake is van betalingen door meerdere, los van elkaar staande partijen is sprake van opvallend weinig variatie in structuur en taalgebruik in de transactiebeschrijvingen. ● Het hof betrekt bij de beoordeling van de toerekening niet de in sommige configuraties vermoedelijk voorkomende bandbreedte in euro's van transacties waartoe die configuraties beperkt zouden zijn, omdat deze bandbreedte te weinig specifiek is. [Moneymule 3] [moneymule 3] ] Deze begunstigde komt blijkens het Fox-IT rapport voor in configuratie 510 van 1 augustus 2012 met het rekeningnummer [rekeningnummer 1]. In de aangifte van [benadeelde partij 1] worden de volgende, daarmee verband houdende transacties genoemd (waarbij de eerste kolom de hoogte van het overgeschreven bedrag weergeeft, de tweede kolom de feitelijke schade, de derde kolom de datum en het tijdstip van de transactie en de vierde kolom de transactiebeschrijving): De transacties zijn afkomstig van zes verschillende zakelijke klanten. Alle transactiebeschrijvingen passen bij de generator die deel uitmaakte van configuratie 510. In het dossier bevindt zich een Onderzoeksrapport opgesteld door [benadeelde partij 2] Veiligheidszaken d.d. 11 februari 2013 (BM C). Hieruit blijkt onder meer dat de medeverdachte [medeverdachte 2] is geregistreerd als vertegenwoordiger van [moneymule 4], [adres 1]. [Moneymule 3] stond bij [benadeelde partij 2] op datzelfde adres geregistreerd. Op grond van het voorgaande is het hof van oordeel dat voornoemde transacties kunnen worden toegerekend aan TorRAT. Dit is relevant voor de toerekeningsvraag met betrekking tot de overige transacties, nu hieruit blijkt dat de generator werkte zoals verondersteld en het een onderbouwing vormt voor enkele van de hierboven genoemde algemene bevindingen. Nu de feitelijke benadeling als gevolg van deze transacties nihil is geweest, leidt deze vaststelling er niet toe dat deze transacties op zichzelf deel uitmaken van het onder 1 tenlastegelegde handelen. Maar deze vaststelling heeft wel betekenis voor de beoordeling van feit 2. Terzijde wordt opgemerkt dat dezelfde begunstigde, maar dan met het rekeningnummer [rekeningnummer 2], voorkomt in de configuraties 511, 513 en 514. Van transacties naar dit rekeningnummer is echter geen aangifte gedaan. [Moneymule 5] [[moneymule 5]] Deze begunstigde komt blijkens het Fox-IT rapport voor in configuratie 515 van 7 augustus 2012 en in configuratie 516 van 8 augustus 2012, beide met het rekeningnummer [rekeningnummer 3]. In de aangifte van [benadeelde partij 1] worden de volgende daarmee verband houdende transacties genoemd (waarbij de eerste kolom de hoogte van het overgeschreven bedrag weergeeft, de tweede kolom de feitelijke schade, de derde kolom de datum en het tijdstip van de transactie en de vierde kolom de transactiebeschrijving): De transacties zijn afkomstig van vijf verschillende zakelijke klanten. Alle transactiebeschrijvingen passen bij de generator die deel uitmaakte van configuratie 510. In de tijd sluiten de transacties aan op de transacties naar [moneymule 3], die door deze configuratie zijn beïnvloed. De transactie van 12 augustus 2012 kan eveneens aan TorRAT worden toegerekend. Weliswaar waren op 9 en 10 augustus 2012 nieuwe configuraties actief geworden, gericht op andere begunstigden, maar in het INTEL-93 rapport wordt vermeld: “Comment by #6 [ l3/Aug/12 ] We see the config being downgraded to version 516 and then being upgraded to 519 again.” Het hof begrijpt hieruit dat op of kort voorafgaand aan 13 augustus 2012 configuratie 516 weer korte tijd geactiveerd is geweest, en dat het daardoor mogelijk is geweest dat op 12 augustus 2012 door TorRAT een transactie zodanig werd beïnvloed dat deze op de bankrekening van [moneymule 5] terechtkwam. Zoals uit het hier aan de orde zijnde transactie-overzicht blijkt, hebben drie transacties niet tot enige benadeling geleid. Toch zijn deze relevant voor de toerekeningsvraag met betrekking tot de overige transacties, nu hieruit blijkt dat de generator, zoals die aanwezig was in de configuraties 515 en 516, identieke transactiebeschrijvingen kon genereren als configuratie 510, en het geheel van transacties een onderbouwing vormt voor enkele van de hierboven genoemde algemene bevindingen. Nu de feitelijke benadeling nihil is geweest, leidt deze vaststelling er niet toe dat deze drie transacties op zichzelf deel uitmaken van het tenlastegelegde handelen. Op grond van het voorgaande is het hof van oordeel dat de overige hiervoor genoemde transacties kunnen worden toegerekend aan TorRAT. Voorts is het volgende van belang voor het verband tussen deze moneymule en andere hierna te bespreken mogelijke moneymules. Op 7 augustus 2012 is vanaf het IP-adres [IP-adres 1] ingelogd op de [benadeelde partij 2]-internetbankieromgeving van [moneymule 5]. Dit IP-adres, dat een Mullvad-VPN-server betreft, is met datzelfde doel gebruikt ten aanzien van [moneymule 6] (meerdere malen op 17 augustus 2012), [moneymule 7] (op 17 augustus 2012 twee keer en op 18 augustus 2012) en [moneymule 8] (op 20 en 22 augustus 2012) (BM 38). Voorts blijkt uit een brief in het dossier (te weten een brief van Fox-IT aan [benadeelde partij 1] d.d. 25 januari 2013), het volgende. Fox-IT heeft bij één of meer banken software geïnstalleerd dat online banking sessies monitort, genaamd DetACT. Fox-IT heeft in deze brief vermeld dat gezien is dat in meerdere gevallen, nadat op een TorRAT begunstigde rekening een frauduleuze overboeking is ontvangen, wordt ingelogd op deze bankrekening. Tijdens die sessie wordt vaker het ontvangen bedrag geheel of gedeeltelijk overgeboekt naar een mogelijke tweedelijns TorRAT begunstigde (BM D). Op grond van deze informatie kan het vaststellen dat in of kort na de periode waarin TorRAT-transacties hebben plaatsgevonden, op de bankrekening van de moneymule wordt ingelogd door een ander dan die moneymule vanaf een bepaald IP-adres, een aanwijzing zijn dat dat IP-adres werd gebruikt door de dadergroep achter TorRAT. Bovendien vormt het vaststellen dat hetzelfde IP-adres in of kort na de periode, waarin TorRAT-transacties hebben plaatsgevonden, is gebruikt om in te loggen op bankrekeningen van verschillende personen, een aanwijzing dat steeds dezelfde persoon of groep van personen met vorenomschreven doel toegang tot die bankrekeningen hebben verkregen. Uit laatstgenoemde brief blijkt dat vanaf het IP-adres [IP-adres 1] op 27 juli 2012 is ingelogd op de bankrekening van [moneymule 10] en op 31 juli 2012 op de bankrekening van [moneymule 11]. Uit het dossier (BM 30) blijkt dat onder meer dit IP-adres (op 11 juli 2012) is gebruikt voor het testen van een groot aantal ‘samples’, waaronder tenminste een aantal van de TorRAT-bot, bij scan4you.net. Deze underground service wordt gebruikt om te testen of bepaalde software door antivirussoftware wordt gedetecteerd als kwaadaardig. Het account dat is gebruikt voor dit testen was gekoppeld aan het e-mailadres jantje@tormail.org, waarvan het hof vaststelt dat dit toebehoort aan de medeverdachte [medeverdachte 1]. [Moneymule 1] [[moneymule 1]] Deze begunstigde komt blijkens het Fox-IT rapport voor in configuratie 518 van 9 augustus 2012 met het rekeningnummer [rekeningnummer 4]. In de aangifte van [benadeelde partij 1] worden de volgende daarmee verband houdende transacties genoemd (waarbij de eerste kolom de hoogte van het overgeschreven bedrag weergeeft, de tweede kolom de feitelijke schade, de derde kolom de datum en het tijdstip van de transactie en de vierde kolom de transactiebeschrijving): De transacties zijn afkomstig van acht verschillende zakelijke klanten. Alle transactiebeschrijvingen passen bij de generator die deel uitmaakte van configuratie 518. Zoals uit het hier aan de orde zijnde transactie-overzicht blijkt, hebben vier transacties niet tot enige benadeling geleid. Toch zijn deze relevant voor de toerekeningsvraag met betrekking tot de overige transacties, nu het geheel van transacties een onderbouwing vormt voor enkele van de hierboven genoemde algemene bevindingen. Nu de feitelijke benadeling nihil is geweest, leidt deze vaststelling er niet toe dat deze vier transacties op zichzelf deel uitmaken van het onder 1 tenlastegelegde handelen. Op grond van het voorgaande is het hof van oordeel dat de overige hiervoor genoemde transacties kunnen worden toegerekend aan TorRAT. [Moneymule 2] [[moneymule 2]] Deze begunstigde komt blijkens het Fox-IT rapport voor in configuratie 519 van 10 augustus 2012 met het rekeningnummer [rekeningnummer 4]. In de aangifte van [benadeelde partij 1] worden de volgende daarmee verband houdende transacties genoemd (waarbij de eerste kolom de hoogte van het overgeschreven bedrag weergeeft, de tweede kolom de feitelijke schade, de derde kolom de datum en het tijdstip van de transactie en de vierde kolom de transactiebeschrijving): De transacties zijn afkomstig van tien verschillende zakelijke klanten. Alle transactiebeschrijvingen passen bij de generator die deel uitmaakte van configuratie 519. Op grond van het voorgaande is het hof van oordeel dat voornoemde transacties kunnen worden toegerekend aan TorRAT. Dit is relevant voor de toerekeningsvraag met betrekking tot de overige transacties, nu hieruit blijkt dat de generator werkte zoals verondersteld en het een onderbouwing vormt voor enkele van de hierboven genoemde algemene bevindingen. Nu de feitelijke benadeling nihil is geweest, leidt deze vaststelling er niet toe dat deze transacties op zichzelf deel uitmaken van het tenlastegelegde handelen ten aanzien van feit 1. Maar deze vaststelling heeft wel betekenis voor de beoordeling van feit 2. Intermezzo Na configuratie 519 zijn er tot 11 september 2012 geen configuraties beschikbaar waarvan de werking bekend is. Wel verdient configuratie 530 aandacht. Deze bevatte geen gegevens van een begunstigde en heeft derhalve geen transacties beïnvloed. Wel is de werking van de generator bekend, deze is zoals hiervoor weergegeven. Hieruit blijkt dat er op een zeker moment tussen 10 augustus 2012 en 6 september 2012 een generator beschikbaar is gekomen die significant andere betalingskenmerken genereerde dan de tot nu toe aan de orde gekomen configuraties. Met name valt op dat er geen cijfers voorkomen in de output van deze generator, maar omschrijvingen van voorwerpen.[Moneymule 12] [[moneymule 12]] Deze begunstigde komt blijkens het Fox-IT rapport voor in de configuraties 708 en 709 van 6 en 7 september 2012 met het rekeningnummer [rekeningnummer 5]. In de aangifte van [benadeelde partij 2] worden de volgende daarmee verband houdende transacties genoemd (waarbij de eerste kolom de hoogte van het overgeschreven bedrag weergeeft, de tweede kolom de datum van de transactie en de derde kolom de transactiebeschrijving): € 10.000,-- 7-9-2012 facnr. 19420 € 18.000,-- 7-9-2012 Boeking 20686 € 19.000,-- 7-9-2012 Factuur F13026 De transacties zijn afkomstig van dezelfde zakelijke klant. Alle transactiebeschrijvingen passen bij de generator die deel uitmaakte van configuratie 510, met uitzondering van de toevoeging van de letter “F” in “Factuur F13026”. Weliswaar was op 6 september 2012 met betrekking tot [benadeelde partij 1] de hiervoor onder “Intermezzo” genoemde configuratie 530 verspreid, maar deze was niet actief. Het is daarom goed mogelijk dat de generator uit configuratie 510 met een kleine aanpassing is ‘hergebruikt’ in de configuraties 708 en/of 709. Daar komt nog bij dat de mogelijkheid van toevoeging van een “F” aan een getal tussen 10.270 en 50.000 in de op 25 september 2012 verspreide configuratie 902 wel voorkomt. Opmerking verdient voorts dat in dit geval sprake is van aanmerkelijk grotere transactiebedragen dan in de tot nu toe besproken gevallen. Dit kan worden verklaard doordat eerdere configuraties beperkt waren tot transacties van lagere bedragen (configuratie 518 was bijvoorbeeld beperkt tot bedragen tussen € 300 en € 1.850), terwijl blijkens het INTEL-93 rapport de limieten in configuratie 708 waren ingesteld op bedragen tussen € 10.000 en € 50.000). Op grond van het voorgaande is het hof van oordeel dat voornoemde transacties kunnen worden toegerekend aan TorRAT. Nu de feitelijke benadeling nihil is geweest, leidt deze vaststelling er niet toe dat deze transacties op zichzelf deel uitmaken van het tenlastegelegde handelen. Maar deze vaststelling heeft wel betekenis voor de beoordeling van feit 2. [Moneymule 13] [[moneymule 13]] Deze begunstigde komt blijkens het Fox-IT rapport voor in configuratie 710 van 7 september 2012 met het rekeningnummer [rekeningnummer 6]. In de aangifte van [benadeelde partij 2] wordt een door de bank op 7 september 2012 tegengehouden transactie naar deze begunstigde genoemd. In de aangifte van [benadeelde partij 1] worden echter de volgende met deze begunstigde en datzelfde rekeningnummer verband houdende transacties genoemd (waarbij de eerste kolom de hoogte van het overgeschreven bedrag weergeeft, de tweede kolom de feitelijke schade, de derde kolom de datum en het tijdstip van de transactie en de vierde kolom de transactiebeschrijving): De transacties zijn afkomstig van drie verschillende zakelijke klanten. Alle transactiebeschrijvingen passen bij de generator die deel uitmaakte van configuratie 530, maar ook bij de generator die deel uitmaakte van configuratie 712 die enkele dagen later zou worden verspreid. Hoewel de afzonderlijke woorden in de transactiebeschrijvingen vrij algemeen zijn, is de combinatie daarvan in deze vier transactiebeschrijvingen dat niet. Op grond van het voorgaande is het hof van oordeel dat voornoemde transacties kunnen worden toegerekend aan TorRAT. Nu de feitelijke benadeling nihil is geweest leidt deze vaststelling er niet toe dat deze transacties op zichzelf deel uitmaken van het onder 1 tenlastegelegde handelen. Maar deze vaststelling heeft wel betekenis voor de beoordeling van feit 2. [Moneymule 14] [[moneymule 14]] Deze begunstigde komt blijkens het Fox-IT rapport voor in configuratie 712 van 11 september 2012 met het rekeningnummer [rekeningnummer 7]. De configuratie is die dag verspreid om 9:09:44 uur, maar al op 12 september 2012 om 00:25:20 uur vervangen door configuratie 711 die geen begunstigde noemde (INTEL-93 rapport, blz. 186) welke configuratie, zo begrijpt het hof, daardoor geen transacties kon beïnvloeden. In het dossier bevinden zich geen aangiftes van transacties naar deze potentiële begunstigde. De vaststelling dat er sprake is geweest van een configuratie met de hiervoor beschreven generator is echter wel relevant voor de beoordeling van de toerekeningsvraag met betrekking tot andere transacties. [Moneymule 15] [[moneymule 15]] Deze begunstigde komt blijkens het Fox-IT rapport voor in configuratie 715 van 12 september 2012 en in configuratie 720 van 13 september 2012, beide met het rekeningnummer [rekeningnummer 8]. In de aangifte van [benadeelde partij 2] worden de volgende daarmee verband houdende transacties genoemd (waarbij de eerste kolom de hoogte van het overgeschreven bedrag weergeeft, de tweede kolom de datum van de transactie en de derde kolom de transactiebeschrijving): € 416,50 12-9-2012 Storting tel centrale€ 400,99 12-9-2012 Bet workshop€ 1000,-- 12-9-2012 Storting videocamera€ 2.500,-- 12-9-2012 overboeking lampen€ 827,05 14-9-2012 Overboeking minivriezer€ 339,90 20-9-2012 bet kroonluchter De transacties zijn afkomstig van vijf verschillende zakelijke klanten. Alle transactiebeschrijvingen passen bij de generator die deel uitmaakte van configuratie 510, maar ook bij de generator die deel uitmaakte van configuratie 712. Op grond van het voorgaande is het hof van oordeel dat voornoemde transacties kunnen worden toegerekend aan TorRAT. Nu de feitelijke benadeling nihil is geweest leidt deze vaststelling er niet toe dat deze transacties op zichzelf deel uitmaken van het onder 1 tenlastegelegde handelen. Maar deze vaststelling heeft wel betekenis voor de beoordeling van feit 2. [Moneymule 16] [[moneymule 16]] Deze begunstigde komt blijkens het Fox-IT rapport voor in configuratie 902 van 25 september 2012 met het rekeningnummer [rekeningnummer 9]. In het dossier bevinden zich geen aangiftes van transacties naar deze potentiële begunstigde, vermoedelijk omdat het rekeningnummer van de gemachtigde van deze begunstigde die bij [benadeelde partij 2] stond ingeschreven – [moneymule 17] (blijkens het dossier genaamd [moneymule 17]) – [rekeningnummer 10] was. De vaststelling dat er sprake is geweest van een configuratie met de hiervoor beschreven generator is echter wel relevant voor de beoordeling van de toerekeningsvraag met betrekking tot andere transacties. Meer in het bijzonder wijst het hof erop dat [moneymule 17] door de medeverdachten [medeverdachte 5] en [medeverdachte 6] was gevraagd om zich als gemachtigde te laten registreren. [Moneymule 18] [[moneymule 18]] Deze begunstigde komt blijkens het Fox-IT rapport voor in configuratie 909 van 25 september 2012 met het rekeningnummer [rekeningnummer 11]. In de aangifte van [benadeelde partij 2] wordt de volgende daarmee verband houdende transactie genoemd (waarbij de eerste kolom de hoogte van het overgeschreven bedrag weergeeft, de tweede kolom de datum van de transactie en de derde kolom de transactiebeschrijving): € 10.690,- 29-10-2012 debnr. 19881 De transactie is afkomstig van een zakelijke klant. De transactiebeschrijving past bij de generator die deel uitmaakte van configuratie 902. Weliswaar dateert die van circa zes weken eerder dan deze transactie, maar er zijn geen tussentijdse afwijkende configuraties bekend. Bovendien stond ook voor deze begunstigde op verzoek van de medeverdachten [medeverdachte 5] en [medeverdachte 6] bij [benadeelde partij 2] [moneymule 17] als gemachtigde ingeschreven. Op grond van het voorgaande is het hof van oordeel dat voornoemde transactie kan worden toegerekend aan TorRAT. [Moneymule 19] [[moneymule 19]] Deze begunstigde komt blijkens het Fox-IT rapport voor in configuraties 910 en 911 van 12 november 2012, beide met het rekeningnummer [rekeningnummer 12]. In de aangifte van [benadeelde partij 2] wordt de volgende daarmee verband houdende transactie genoemd (waarbij de eerste kolom de hoogte van het overgeschreven bedrag weergeeft, de tweede kolom de datum van de transactie en de derde kolom de transactiebeschrijving): € 10.000,- 31-10-2012 facnr. 34947 De transactie is afkomstig van een zakelijke klant. De transactiebeschrijving past bij de generator die deel uitmaakte van configuratie 902. Weliswaar dateert deze laatste van circa zes weken eerder dan deze transactie, maar er zijn geen tussentijdse afwijkende configuraties bekend. Daarnaast is [moneymule 19] een persoon die op diverse manieren in verband kan worden gebracht met medeverdachten. Zij is niet alleen een voormalige vriendin van de medeverdachte [medeverdachte 3], die haar ronselde als begunstigde (BM 143 en 23), maar ook zijn twee van de onder de medeverdachte [medeverdachte 5] inbeslaggenomen dongels gebruikt om in te loggen op de bankrekening van onder meer [moneymule 19] (BM 123 en 130). Op grond van het voorgaande is het hof van oordeel dat voornoemde transacties kunnen worden toegerekend aan TorRAT. [Moneymule 20] [[moneymule 20]] Deze begunstigde komt blijkens het Fox-IT rapport voor in configuratie 915 van 12 november 2012 met het rekeningnummer [rekeningnummer 13]. Blijkens een door deze potentiële begunstigde afgelegde verklaring heeft hij de betreffende bankrekening op verzoek van de medeverdachte [medeverdachte 3] geopend, maar drie uur later weer laten blokkeren omdat het voor hem niet goed voelde dat deze in verkeerde handen was gevallen. Hierdoor hebben er geen transacties naar deze rekening plaatsgevonden. [Moneymule 21] [[moneymule 21]] Deze begunstigde komt blijkens het Fox-IT rapport voor in configuraties 916 en 917 van 12 november 2012, beide met het rekeningnummer [rekeningnummer 14]. In de aangifte van [benadeelde partij 2] wordt de volgende daarmee verband houdende transactie genoemd (waarbij de eerste kolom de hoogte van het overgeschreven bedrag weergeeft, de tweede kolom de datum van de transactie en de derde kolom de transactiebeschrijving): € 53.230,05 8-11-2012 Fac 40284 Gezien de datum van de transactie kan deze niet beïnvloed zijn door configuratie 916 of 917. De transactiebeschrijving past wel bij configuratie 902. Uit de aangifte van [benadeelde partij 2] alsmede uit het bankafschrift van 21 november 2012 (BM 1) en de bewijsmiddelen 31 en 99 blijkt dat op 9 november 2012 een bedrag van € 50.000 is overgeboekt naar een bankrekening in Engeland en dat dat bedrag vervolgens in meerdere betalingen is doorgeboekt naar een rekening bij weer een andere bank. Een van deze overboekingen vond plaats op naam van [bedrijf 1] met als omschrijving "investment 2012-11-300568". Dit stemt overeen met de instructie die Eng aan Cheng meegaf met de rekeninginformatie van [bedrijf 1] in TorMail #246. Op grond van het voorgaande is het hof van oordeel dat voornoemde transactie kan worden toegerekend aan TorRAT, met dien verstande dat het bedrag dat voor de beoordeling van feit 1 relevant is € 50.000,-- bedraagt. [Moneymule 22] [[moneymule 22]] Deze begunstigde komt blijkens het Fox-IT rapport voor in configuratie 918 van 15 november 2012 met het rekeningnummer [rekeningnummer 15]. In de aangifte van [benadeelde partij 2] worden de volgende daarmee verband houdende transacties genoemd (waarbij de eerste kolom de hoogte van het overgeschreven bedrag weergeeft, de tweede kolom de datum van de transactie en de derde kolom de transactiebeschrijving): € 3.643,- 15-11-2012 factuur 24542€ 8.220,03 15-11-2012 Boeking 33281€ 4.150,41 15-11-2012 Factuurnr. F38487-625 Deze transacties zijn afkomstig van drie verschillende zakelijke klanten. De transactiebeschrijvingen passen bij de generator die deel uitmaakte van configuratie 902. Weliswaar dateert deze laatste van circa zes weken eerder dan deze transactie, maar er zijn geen tussentijdse afwijkende configuraties bekend. Daarnaast blijkt uit het dossier dat de medeverdachte [medeverdachte 2] [moneymule 22] heeft opgericht en dat op zijn verzoek de betreffende bankrekening op naam van die CV is gezet. Ook is met een dongel die is aangetroffen bij de medeverdachte [medeverdachte 5] ingelogd op de [benadeelde partij 2]-internetbankieromgeving behorende bij deze bankrekening (BM 130). Op grond van het voorgaande is het hof van oordeel dat voornoemde transacties kunnen worden toegerekend aan TorRAT. Nu de feitelijke benadeling nihil is geweest leidt deze vaststelling er niet toe dat deze transacties op zichzelf deel uitmaken van het onder 1 tenlastegelegde handelen. Maar deze vaststelling heeft wel betekenis voor de beoordeling van feit 2. [Moneymule 23] [[moneymule 23]] Deze begunstigde komt blijkens het Fox-IT rapport voor in configuratie 919 van 16 november 2012 met het rekeningnummer [rekeningnummer 16]. In de aangifte van [benadeelde partij 2] van 14 februari 2013 worden de volgende daarmee verband houdende transacties genoemd (waarbij de eerste kolom de hoogte van het overgeschreven bedrag weergeeft, de tweede kolom de datum van de transactie en de derde kolom de transactiebeschrijving): € 25.000,- 19-11-2012 Boeking 41649€ 70.000,-- 19-11-2012 Factuur 45311-706 Deze transacties zijn afkomstig van één zakelijke klant. De transactiebeschrijvingen passen bij de generator die deel uitmaakte van configuratie 902. Weliswaar dateert deze laatste van ruim zes weken eerder dan deze transacties, maar er zijn geen tussentijdse afwijkende configuraties bekend. Daarnaast blijkt uit bewijsmiddel 60 dat op 16 november 2012, derhalve op de dag dat configuratie 919 bekend is geworden, Cheng aan Ching meldt: “voor vandaag staat [moneymule 23] aan op i groot boven 10 is een pri dus we zullen zien hoe dat gaat.” En uit bewijsmiddel 61 blijkt dat dat op 18 november 2012 Cheng aan Ching vraagt: “Hoeveel wil je openzetten voor morgen? Je hebt die [bank 1] van [moneymule 23] (...)”, waarna Ching antwoordt: “[moneymule 23] staat op groot boven 10k [benadeelde partij 2] (...)”. Het in het configuratiebestand opgenomen rekeningnummer betreft een bankrekening bij [bank 1]. Daarnaast is in de rugzak van de medeverdachte [medeverdachte 4] onder meer een doorboekformulier aangetroffen met de naam en het rekeningnummer van [moneymule 23] (BM 119). Op grond van het voorgaande is het hof van oordeel dat voornoemde transacties kunnen worden toegerekend aan TorRAT, met dien verstande dat het bedrag dat voor feit 1 relevant is € 5.000,-- bedraagt, nu in de aangifte wordt vermeldt dat door een andere bank een schade van € 95.000 is voorkomen. [Moneymule 24] [[moneymule 24]] Deze begunstigde komt blijkens het Fox-IT rapport voor in configuratie 1001 van 12 november 2012 met het rekeningnummer [rekeningnummer 17]. In de aangifte van [benadeelde partij 1] worden de volgende daarmee verband houdende transacties genoemd (waarbij de eerste kolom de hoogte van het overgeschreven bedrag weergeeft, de tweede kolom de datum en het tijdstip van de transactie en de derde kolom de transactiebeschrijving): Deze transacties zijn afkomstig van zeven verschillende zakelijke klanten. Enige overeenkomst met bekende configuratiebestanden ontbreekt. Weliswaar zijn er aanwijzingen (zoals de overeenkomende structuur van de 2e t/m de 5e regel) dat sommige transacties automatisch zijn gegenereerd, maar aangezien al deze transacties van dezelfde overboeker afkomstig zijn, kan dat ook door een regulier administratiesysteem zijn veroorzaakt of door andere malware dan TorRAT. Dat er in het dossier aanwijzingen te vinden zijn dat deze begunstigde als moneymule banden had met één of meer medeverdachten is naar het oordeel van het hof onvoldoende om te concluderen dat de betreffende transacties kunnen worden toegerekend aan TorRAT. [Moneymule 25] [[moneymule 25]] Deze begunstigde komt blijkens het Fox-IT rapport voor in configuratie 1002 van 12 november 2012 met het rekeningnummer [rekeningnummer 18]. In de aangifte van [benadeelde partij 1] worden de volgende daarmee verband houdende transacties genoemd (waarbij de eerste kolom de hoogte van het overgeschreven bedrag weergeeft, de tweede kolom de datum en het tijdstip van de transactie en de derde kolom de transactiebeschrijving): Deze transacties zijn afkomstig van twee verschillende zakelijke klanten, de 2e t/m de 14e transactie zijn van één overboeker afkomstig. Enige overeenkomst met bekende configuratiebestanden ontbreekt. Van de transacties 2 t/m 14 zijn er twee waarvan de transactiebeschrijving een afwijkende structuur heeft, maar die zijn dan ook beide van hetzelfde, ten opzichte van de overige transacties afwijkende moment. Een aanwijzing dat geen sprake is van door TorRAT gegenereerde transactiebeschrijvingen is de aanwezigheid van de naam van de overboeker in de 5e transactie. Weliswaar zijn er aanwijzingen (zoals de overeenkomende structuur van de 2e t/m de 5e regel) dat sommige transacties automatisch zijn gegenereerd, maar aangezien deze transacties allemaal van dezelfde overboeker afkomstig zijn, kan dat ook door een regulier administratiesysteem zijn veroorzaakt of door andere malware dan TorRAT. Dat er in het dossier aanwijzingen te vinden zijn dat deze begunstigde als moneymule banden had met één of meer medeverdachten is naar het oordeel van het hof onvoldoende om te concluderen dat de betreffende transacties kunnen worden toegerekend aan TorRAT. [Moneymule 26] [[moneymule 26]] Deze begunstigde komt blijkens het Fox-IT rapport voor in configuratie 1003 van 12 november 2012 met het rekeningnummer [rekeningnummer 19]. In de aangifte van [benadeelde partij 1] worden de volgende daarmee verband houdende transacties genoemd (waarbij de eerste kolom de hoogte van het overgeschreven bedrag weergeeft, de tweede kolom de datum en het tijdstip van de transactie en de derde kolom de transactiebeschrijving): Deze transacties zijn afkomstig van één zakelijke klant. Enige overeenkomst met bekende configuratiebestanden ontbreekt. Ook is het gezien het feit dat deze transacties plaatsvonden voordat configuratie 1003 actief werd, logischerwijs onmogelijk dat de transacties door deze configuraties zijn beïnvloed. Dat er in het dossier aanwijzingen te vinden zijn dat deze begunstigde als zogenaamde secundaire moneymule optrad en in die hoedanigheid banden had met één of meer medeverdachten is naar het oordeel van het hof onvoldoende om te concluderen dat de betreffende transacties kunnen worden toegerekend aan TorRAT. [Moneymule 27] [[moneymule 27]] Deze begunstigde komt blijkens het Fox-IT rapport voor in configuratie 1006 van 12 november 2012 met het rekeningnummer [rekeningnummer 20]. De juiste schrijfwijze van de naam blijkt [moneymule 27] te zijn. Het hof zal hierna deze schrijfwijze hanteren, indien er geen twijfel bestaat dat met “[moneymule 27]” deze [moneymule 27] wordt bedoeld. In de aangifte van [benadeelde partij 1] worden de volgende daarmee verband houdende transacties genoemd (waarbij de eerste kolom de hoogte van het overgeschreven bedrag weergeeft, de tweede kolom de datum en het tijdstip van de transactie en de derde kolom de transactiebeschrijving): Deze transacties zijn afkomstig van twee verschillende zakelijke klanten en van een particulier (dat betreft de laatste). Dat laatste is uitzonderlijk nu de spamruns van TorRAT zich op zakelijke klanten richtten, maar lijkt technisch evenwel niet onmogelijk. De 2e t/m de 5e transactie zijn van één overboeker afkomstig, hetgeen de eenvormigheid van de transactiebeschrijvingen zou kunnen verklaren. Enige overeenkomst met bekende configuratiebestanden ontbreekt. Weliswaar zijn er in het dossier aanwijzingen te vinden dat deze begunstigde als moneymule optrad en in die hoedanigheid banden had met één of meer medeverdachten, maar dat is naar het oordeel van het hof onvoldoende om te concluderen dat de betreffende transacties kunnen worden toegerekend aan TorRAT. [Moneymule 28] [[moneymule 28]] Deze begunstigde komt blijkens het Fox-IT rapport voor in configuratie 1007 van 22 november 2012 met het rekeningnummer [rekeningnummer 21]. In het dossier bevindt zich geen aangifte waaruit blijkt van enige transactie naar deze begunstigde. Het hof komt derhalve niet toe aan de toerekeningsvraag. [Moneymule 29] [Moneymule 29] heeft verklaard dat hij en [moneymule 1] (zie hiervoor), door dezelfde persoon zijn benaderd (BM 149). Verder blijkt uit de aangifte van [aangever 1] (BM 22) dat van de rekening van [aangever 1] geldbedragen frauduleus zijn overgeboekt naar [moneymule 29]. In de aangifte van [benadeelde partij 1] worden de volgende, met deze persoon verband houdende transacties genoemd (waarbij de eerste kolom de hoogte van het overgeschreven bedrag weergeeft, de tweede kolom de feitelijke schade, de derde kolom de datum en het tijdstip van de transactie en de vierde kolom de transactiebeschrijving): De transacties zijn afkomstig van negen verschillende zakelijke klanten, waaronder [aangever 1]. Alle transactiebeschrijvingen passen bij de generator die deel uitmaakte van configuratie 518. Weliswaar was deze op een andere begunstigde gericht, maar nu niet alle configuraties bekend zijn (zo ontbreekt onder meer configuratie 517), is het mogelijk dat deze transacties zijn veroorzaakt door een configuratie met een aan configuratie 518 identieke generator. Dat beide configuraties in dezelfde periode actief zijn geweest vormt geen contra-indicatie voor dit scenario. Uit de verklaring van de deskundige en het Fox-IT rapport blijkt immers dat het verspreiden van configuraties naar de met TorRAT geïnfecteerde computers plaatsvond door het versturen van het commando ‘dc’ (download config) door de C&C-server, waarna de geïnfecteerde computers de configuratiebestanden downloadden. In het dossier bevinden zich geen aanwijzingen die erop duiden dat dit ‘dc’-commando altijd aan alle geïnfecteerde computers tegelijk werd verstuurd, noch dat TorRAT zodanig was ingericht dat alle geïnfecteerde computers altijd dezelfde configuratie moesten gebruiken. Op grond van het voorgaande is het hof van oordeel dat voornoemde transacties kunnen worden toegerekend aan TorRAT. [Moneymule 30] [[moneymule 30] Op de bankrekening van [moneymule 30] is ingelogd vanaf de IP-adressen [IP-adres 2] en/of [IP-adres 1] in de maanden augustus en september 2012. Vanaf die IP-adressen is ook ingelogd op de bankrekeningen van verschillende andere begunstigden (BM 38). Op de bankrekening van [moneymule 30] is tevens ingelogd vanaf het IP-adres [IP-adres 3] (BM 38), welk IP-adres ook is gebruikt in samenhang met de TorRAT spamrun via aangever [aangever 2] (zie hierover de aangifte van [aangever 2] (BM 9), de aanvullende verklaring van deze aangever met daarin voornoemd IP-adres (BM 10) en het overzicht van de spamruns (BM 33)). In de aangifte van [benadeelde partij 1] worden de volgende met deze persoon verband houdende transacties genoemd (waarbij de eerste kolom de hoogte van het overgeschreven bedrag weergeeft, de tweede kolom de feitelijke schade, de derde kolom de datum en het tijdstip van de transactie en de vierde kolom de transactiebeschrijving): De transacties zijn afkomstig van zeven verschillende zakelijke klanten. Alle transactiebeschrijvingen passen bij de generatoren die deel uitmaakten van de configuraties 530 en 712. Weliswaar waren deze op een andere begunstigde gericht, maar nu niet alle configuraties bekend zijn (zo ontbreken configuraties over de periode van 10 augustus tot 6 september 2012, waar (met uitzondering van de laatste) alle hier genoemde transacties in vallen), is het mogelijk dat deze transacties zijn veroorzaakt door een configuratie met een aan configuratie 530 en 712 identieke generator. Het hof wijst er in het bijzonder op dat het opmerkelijk is dat transacties die op hetzelfde moment hebben plaatsgevonden en afkomstig zijn van dezelfde overboeker, verschillende schrijfwijzen laten zien (het gebruik van “Bet” en “bet”), hetgeen typerend is voor de willekeurige wijze waarop de generatoren in de twee genoemde TorRAT-configuraties deze woorden kiezen. Ook de foutieve spelling ‘nootbook’ is typerend voor beide configuraties. Zoals uit het hier aan de orde zijnde transactie-overzicht blijkt, hebben de transacties van 31 augustus 2012 niet tot enige benadeling geleid. Toch zijn deze relevant voor de toerekeningsvraag met betrekking tot andere configuraties, ook omdat het geheel van transacties een onderbouwing vormt voor enkele van de hierboven genoemde algemene bevindingen. Nu de feitelijke benadeling nihil is geweest, leidt deze vaststelling er niet toe dat deze drie transacties op zichzelf deel uitmaken van het onder 1 tenlastegelegde handelen. Daarnaast past de laatste transactie in het overzicht weliswaar bij beide configuraties, maar qua datum wijkt deze zodanig af van de overige transacties dat er onvoldoende aanwijzingen zijn om deze aan TorRAT toe te rekenen. Op grond van het voorgaande is het hof van oordeel dat de overige hiervoor genoemde transacties kunnen worden toegerekend aan TorRAT. [Moneymule 6] [[moneymule 6]] Op de rekening van [moneymule 6] is (onder meer) ingelogd vanaf de IP-adressen [IP-adres 2] en/of [IP-adres 1] in de maanden augustus en september 2012. Vanaf die IP-adressen is ook ingelogd op de rekeningen van [moneymule 16] (de begunstigde in configuratiebestand 902) en [moneymule 5] (de begunstigde in de configuratiebestanden 515 en 516). Uit de aangifte van [aangever 3] (BM 17) blijkt dat van de bankrekening van deze aangever zowel gelden frauduleus zijn overgeboekt naar [moneymule 6] als naar [moneymule 2] (de begunstigden uit configuratiebestand 518). In de aangifte van [benadeelde partij 1] worden de volgende met deze persoon verband houdende transacties genoemd (waarbij de eerste kolom de hoogte van het overgeschreven bedrag weergeeft, de tweede kolom de feitelijke schade, de derde kolom de datum en het tijdstip van de transactie en de vierde kolom de transactiebeschrijving): De transacties zijn afkomstig van vijf verschillende zakelijke klanten. De transactiebeschrijvingen passen merendeels ofwel bij de generator die deel uitmaakte van configuratie 510 ofwel bij de generator die deel uitmaakte van configuratie 902. Weliswaar waren deze op een andere begunstigde gericht, maar nu niet alle configuraties bekend zijn (zo ontbreken configuraties over de periode van 10 augustus tot 6 september 2012, waar alle hier genoemde transacties in vallen), is het mogelijk dat deze transacties zijn veroorzaakt door een configuratie met generator die elementen van zowel configuratie 510 als configuratie 902 bevatte. De uiteenlopende data van deze beide configuraties duiden erop dat de persoon of personen die verantwoordelijk waren voor het opstellen van de TorRAT-configuraties over een langere periode een sterk vergelijkbare vormgeving van de generatoren bleven gebruiken of hergebruikten. Kleine variaties of toevoegingen, zoals het gebruik van ‘deb.nr.’en ‘deb.’ naast of in plaats van ‘debnr.’ en de introductie van ‘no.’, zijn daardoor goed verklaarbaar. Op grond van het voorgaande is het hof van oordeel dat de hiervoor genoemde transacties kunnen worden toegerekend aan TorRAT. [Moneymule 7] [[moneymule 7]] Op de bankrekeningen van [moneymule 7] is ingelogd vanaf de IP-adressen [IP-adres 2] en/of [IP-adres 1] in de maanden augustus en september 2012. Vanaf die IP-adressen is ook ingelogd op de bankrekeningen van [moneymule 16] (de begunstigde in configuratiebestand 902) en [moneymule 5] (de begunstigde in de configuratiebestanden 515 en 516). Op de bankrekeningen van [moneymule 7] is tevens ingelogd vanaf het IP-adres [IP-adres 4] (BM 38), welk IP-adres ook is gebruikt in samenhang met de TorRAT spamrun via aangever [aangever 2] (zie hierover de aangifte van [aangever 2] (BM 9), de aanvullende verklaring van deze aangever met daarin voornoemd IP-adres (BM 10) en het overzicht van de spamruns (BM 33)). In de aangifte van [benadeelde partij 1] worden de volgende met deze persoon verband houdende transacties genoemd,(waarbij de eerste kolom de hoogte van het overgeschreven bedrag weergeeft, de tweede kolom de feitelijke schade, de derde kolom de datum en het tijdstip van de transactie en de vierde kolom de transactiebeschrijving): De transacties zijn afkomstig van acht verschillende zakelijke klanten. Alle transactiebeschrijvingen passen bij de generatoren die deel uitmaakten van configuraties 530 en 712. Weliswaar waren deze op een andere begunstigde gericht, maar nu niet alle configuraties bekend zijn (zo ontbreken configuraties over de periode van 10 augustus tot 6 september 2012, waar (met uitzondering van de laatste) alle hier genoemde transacties in vallen), is het mogelijk dat deze transacties zijn veroorzaakt door een configuratie met een aan configuratie 530 en 712 identieke generator. Het hof wijst er in het bijzonder op dat het opmerkelijk is dat transacties die op hetzelfde moment hebben plaatsgevonden en afkomstig zijn van dezelfde overboeker, verschillende schrijfwijzen laten zien, hetgeen typerend is voor de willekeurige wijze waarop de generatoren in de twee genoemde TorRAT-configuraties deze woorden kiezen. Voorbeelden hiervan zijn de transacties 3 en 4 uit dit overzicht (‘bet bureaustoel’ en ‘betaling bureaukast’), die op hetzelfde moment door één overboeker zijn verricht. Zowel van een natuurlijke persoon als van een geautomatiseerd boekhoudsysteem zou verwacht mogen worden dat in een dergelijke situatie een uniforme schrijfwijze wordt gehanteerd. Bij de TorRAT-configuraties zou dat juist uitzonderlijk zijn. Hetzelfde geldt voor de transacties 11 en 13 in het overzicht hierboven (‘Overboeking samsung’ en ‘Betaling samsung tel.’), die met een tussenpoos van minder dan een uur zijn gedaan. Op grond van het voorgaande is het hof van oordeel dat de hiervoor genoemde transacties kunnen worden toegerekend aan TorRAT. Nu de feitelijke benadeling door de eerste twee en de laatste drie transacties nihil is geweest, leidt deze vaststelling er niet toe dat deze vijf transacties op zichzelf deel uitmaken van het onder 1 tenlastegelegde handelen. [Moneymule 8] [[moneymule 8]] Op de bankrekeningen van [moneymule 8] is ingelogd vanaf de IP-adressen [IP-adres 2] en/of [IP-adres 1] in de maanden augustus en september 2012. Vanaf die IP-adressen is ook ingelogd op de bankrekeningen van [moneymule 16] (de begunstigde in configuratiebestand 902) en [moneymule 5] (de begunstigde in de configuratiebestanden 515 en 516). Op de bankrekening van [moneymule 8] is tevens ingelogd vanaf het IP-adres [IP-adres 4] (BM 38), welk IP-adres ook is gebruikt in samenhang met de TorRAT spamrun via aangever [aangever 2] (zie hierover de aangifte van [aangever 2] (BM 9), de aanvullende verklaring van deze aangever met daarin voornoemd IP-adres (BM 10) en het overzicht van de spamruns (BM 33)). In de aangifte van [benadeelde partij 2] worden de volgende daarmee verband houdende transacties genoemd (waarbij de eerste kolom de hoogte van het overgeschreven bedrag weergeeft, de tweede kolom de datum van de transactie en de derde kolom de transactiebeschrijving): € 11.000,- 28-8-2012 Boeking 24491€ 10.000,- 23-8-2012 factuurnr 19965€ 53,65 22-8-2012 Fac 44329€ 3.591,42 22-8-2012 facnr. 35047€ 156,87 3-9-2012 Fac 35896 De transacties zijn afkomstig van vier verschillende zakelijke klanten. Alle transactiebeschrijvingen passen bij de generatoren die deel uitmaakten van configuraties 510 en 902. Weliswaar waren deze op een andere begunstigde gericht, maar nu niet alle configuraties bekend zijn (zo ontbreken configuraties over de periode van 10 augustus tot 6 september 2012, waar (met uitzondering van de laatste) alle hier genoemde transacties in vallen), is het mogelijk dat deze transacties zijn veroorzaakt door een configuratie met een aan configuratie 510 en 902 identieke generator. Op grond van het voorgaande is het hof van oordeel dat de hiervoor genoemde transacties kunnen worden toegerekend aan TorRAT. [Moneymule 10] [[moneymule 10]] Het hiervoor al genoemde IP-adres [IP-adres 2] is ook gebruikt om op 26 juli 2012 in te loggen op de bankrekening van [moneymule 10] (BM 39). Op de bankrekening van [moneymule 10] is tevens op 27 juli 2012 ingelogd vanaf het eveneens hiervoor genoemde IP-adres [IP-adres 1] (BM 39). Vanaf dat IP-adres is ook ingelogd op de bankrekeningen van verschillende andere begunstigden (BM 38). In de aangifte van [benadeelde partij 1] worden de volgende met deze persoon verband houdende transacties genoemd,(waarbij de eerste kolom de hoogte van het overgeschreven bedrag weergeeft, de tweede kolom de feitelijke schade, de derde kolom de datum en het tijdstip van de transactie en de vierde kolom de transactiebeschrijving): De transacties zijn afkomstig van vijf verschillende zakelijke klanten. De transactiebeschrijvingen passen merendeels bij de generator die deel uitmaakte van configuratie 510. Weliswaar was deze op een andere begunstigde gericht, maar nu niet alle configuraties bekend zijn (zo ontbreken configuraties over de periode voor 1 augustus 2012, alle hier genoemde transacties vonden kort daarvoor plaats), is het mogelijk dat deze transacties zijn veroorzaakt door een configuratie met generator die sterke overeenkomsten vertoont met die in configuratie 510. Hetgeen hiervoor is vastgesteld met betrekking tot de werking van generatoren duidt erop dat de persoon of personen die verantwoordelijk waren voor het opstellen van de TorRAT-configuraties over een langere periode een sterk vergelijkbare vormgeving van de generatoren bleven gebruiken of hergebruikten. Kleine variaties of toevoegingen, zoals het gebruik van ‘Bet:’ terwijl in de bekende configuraties alleen ‘bet:’ voorkomt en de introductie van ‘Nr.’ naast ‘Factuurnr.’ zijn daardoor goed verklaarbaar. Voorts valt op dat de eerste drie transactiebeschrijvingen alle drie ‘Factuurnr.’ bevatten, terwijl ze van drie verschillende overboekers afkomstig zijn, dat alle transactiebeschrijvingen een getal bevatten dat valt buiten de bandbreedte die in een aantal bekende generatoren is ingebouwd, en dat de 2e transactie de voor configuratie 510 kenmerkende combinatie bevat van een ‘#’ voorafgaand aan een vijfcijferig getal en een getal tussen 100-900 voorafgegaan door een ‘-’. Op grond van het voorgaande is het hof van oordeel dat de hiervoor genoemde transacties kunnen worden toegerekend aan TorRAT. Nu de feitelijke benadeling door deze transacties nihil is geweest, leidt deze vaststelling er niet toe dat deze op zichzelf deel uitmaken van het onder 1 tenlastegelegde handelen. Maar deze vaststelling heeft wel betekenis voor de beoordeling van feit 2. [Moneymule 33] [[moneymule 33]] Het hiervoor al genoemde IP-adres [IP-adres 2] is ook gebruikt om op 3 september 2012 in te loggen op de bankrekening van [moneymule 33] (BM 39, daarin kennelijk abusievelijk gespeld als ‘[moneymule 33]’). Vanaf dat IP-adres is ook ingelogd op de bankrekeningen van verschillende andere begunstigden (BM 38). In de aangifte van [benadeelde partij 1] worden de volgende met deze persoon verband houdende transacties genoemd (waarbij de eerste kolom de hoogte van het overgeschreven bedrag weergeeft, de tweede kolom de feitelijke schade, de derde kolom de datum en het tijdstip van de transactie en de vierde kolom de transactiebeschrijving): De transacties zijn afkomstig van zeven verschillende zakelijke klanten. Alle transactiebeschrijvingen passen bij de generator die deel uitmaakte van configuratie 712 die enkele dagen later zou worden verspreid. Hoewel de afzonderlijke woorden in de transactiebeschrijvingen vrij algemeen zijn, is de combinatie daarvan in deze 29 transactiebeschrijvingen dat niet. Op grond van het voorgaande is het hof van oordeel dat voornoemde transacties kunnen worden toegerekend aan TorRAT. Nu de feitelijke benadeling door de transacties 12 t/m 15 en 25 nihil is geweest, leidt deze vaststelling er niet toe dat deze vijf transacties op zichzelf deel uitmaken van het onder 1 tenlastegelegde handelen. Maar deze vaststelling heeft wel betekenis voor de beoordeling van feit 2. [Moneymule 34] en [moneymule 35] (eenmanszaken van [moneymule 11]) Blijkens de aangifte van [benadeelde partij 1] is een deel van het op bankrekening van [moneymule 34] gestorte geld doorgeboekt voor bitcoins, door middel van het hiervoor al genoemde IP-adres [IP-adres 1] (BM 3) zie p. 330 van het dossier). Verder is op de bankrekening van [moneymule 11] ingelogd vanaf de hiervoor al genoemde IP-adressen [IP-adres 1] (op 31 augustus 2012) en [IP-adres 4] (tweemaal op 3 september 2012) (BM 39). Uit de verklaring van [moneymule 11] tegenover de politie (BM 146) blijkt dat hij op de hoogte was van frauduleuze handelingen met een op zijn naam staande bankrekening bij [benadeelde partij 1], en dat de medeverdachte [medeverdachte 4] en de verdachte daarbij betrokken waren. In de aangifte van [benadeelde partij 1] worden de volgende met deze persoon verband houdende transacties genoemd (waarbij de eerste kolom de hoogte van het overgeschreven bedrag weergeeft, de tweede kolom de feitelijke schade, de derde kolom de datum en het tijdstip van de transactie en de vierde kolom de transactiebeschrijving): [moneymule 34]: [moneymule 35]: De transacties zijn afkomstig van dertien verschillende zakelijke klanten. De transactiebeschrijvingen passen merendeels ofwel bij de generator die deel uitmaakte van configuratie 510 ofwel bij de generator die deel uitmaakte van configuratie 902. Weliswaar waren deze op een andere begunstigde gericht, maar nu niet alle configuraties bekend zijn (zo ontbreken configuraties over de periode van 10 augustus tot 6 september 2012, waar alle hier genoemde transacties in vallen), is het mogelijk dat deze transacties zijn veroorzaakt door een configuratie met generator die elementen van zowel configuratie 510 als configuratie 902 bevatte. De uiteenlopende data van deze beide configuraties duiden erop dat de persoon of personen die verantwoordelijk waren voor het opstellen van de TorRAT-configuraties over een langere periode een sterk vergelijkbare vormgeving van de generatoren bleven gebruiken of hergebruikten. Kleine toevoegingen, zoals de introductie van ‘deb.’ en ‘no.’, zijn daardoor goed verklaarbaar. Op grond van het voorgaande is het hof van oordeel dat de hiervoor genoemde transacties kunnen worden toegerekend aan TorRAT. Nu de feitelijke benadeling door de transacties 4 en 8 met betrekking tot [moneymule 34] en door transactie 7 met betrekking tot [moneymule 35] nihil is geweest, leidt deze vaststelling er niet toe dat deze drie transacties op zichzelf deel uitmaken van het onder 1 tenlastegelegde handelen. Maar deze vaststelling heeft wel betekenis voor de beoordeling van feit 2. [Moneymule 37] (betreft bankrekeningen met de nummers [rekeningnummer 22], [rekeningnummer 23] en [rekeningnummer 24]) Blijkens de aangiften van [benadeelde partij 1] is er een groot aantal overboekingen gedaan naar drie bankrekeningen op naam van [moneymule 37], waaronder diverse overboekingen van bankrekeningen van de bedrijven [bedrijf 2], [bedrijf 3] en [bedrijf 4] (zie Annex 4). Blijkens de aangifte van de eigenaar van deze bedrijven (BM 19) had deze een spammail ontvangen van rechtspraak.nl (spamrun 11 uit het onderzoek, BM 33). Uit de aangifte van [aangever 3] (BM 19) blijkt dat hij op 30 september 2012 voor zijn bedrijven [bedrijf 2], [bedrijf 4] en [bedrijf 3], betalingen heeft gedaan via internet. Later zag hij dat deze vijf betalingen waren gedaan aan [moneymule 37] met rekeningnummer [rekeningnummer 23]. Ook heeft [aangever 3] verklaard dat hij op vrijdag 28 september 2012 een mail van de rechtspraak.nl heeft geopend waarin stond dat er beslag gelegd zou worden op zijn bankrekening. Hij heeft geprobeerd de bijlage te openen, maar dat lukte niet. In de woning van [getuige 1] is een brief van [benadeelde partij 2], gericht aan [moneymule 37] d.d. 11 september 2012, betreffende de aanvraag van nieuwe inlogcodes voor [benadeelde partij 2]-internetbankieren, aangetroffen, waarover [getuige 1] heeft verklaard dat hij die heeft aangetroffen nadat de medeverdachte [medeverdachte 6] zijn woning had gebruikt (BM 133 en BM 134). De medeverdachte [medeverdachte 2] had bemoeienis met [moneymule 37]. Hij heeft verklaard dat hij samen met [betrokkene 1] [moneymule 37] ‘deed’, en dat hij salaris van [moneymule 37] betaald kreeg (BM E). Op 12 september 2012 is een bedrag van € 1.260,- op een bankrekening van de medeverdachte [medeverdachte 2] overgemaakt onder vermelding van ‘restant salaris augustus’ (BM F). De internet dongels die in beslag genomen zijn in de auto van de verdachte op 7 december 2012, zijn in de periode van 15 september 2012 tot en met 03 oktober 2012 gebruikt om in te loggen op de [benadeelde partij 2] bankrekening met nummer [rekeningnummer 24] op naam van het bedrijf [moneymule 37] (BM 38). Het IP-adres [IP-adres 4] is op 14 september 2012 gebruikt om in te loggen op de bankrekening van [betrokkene 1] voornoemd en op 23 september 2012 gebruikt om in te loggen op bankrekening met nummer [rekeningnummer 24] van [moneymule 37]. Dit IP-adres wordt op 22 en 27 oktober 2012 gebruikt om in te loggen op de bankrekening van [moneymule 22]. Bij doorzoeking in de woning van de medeverdachte [medeverdachte 2] werden papieren bescheiden aangetroffen van belastingdienst, KvK en [benadeelde partij 2], onder meer van [moneymule 37] (BM G). In de aangifte van [benadeelde partij 1] worden de volgende daarmee verband houdende transacties genoemd (waarbij de eerste kolom de hoogte van het overgeschreven bedrag weergeeft, de tweede kolom de datum en het tijdstip van de transactie en de derde kolom de transactiebeschrijving): De transacties zijn afkomstig van dertien verschillende zakelijke klanten (waarbij de transacties met het kenmerk “(onbekend: POGING)” buiten beschouwing worden gelaten). De transactiebeschrijvingen passen merendeels ofwel bij de generator die deel uitmaakte van configuratie 510 ofwel bij de generator die deel uitmaakte van configuratie 902. Weliswaar waren deze op een andere begunstigde gericht, maar nu niet alle configuraties bekend zijn (zo ontbreken configuraties over de periode van 25 september 2012 tot 12 november 2012, waar alle hier genoemde transacties in vallen), is het mogelijk dat deze transacties zijn veroorzaakt door een configuratie met generator die elementen van zowel configuratie 510 als configuratie 902 bevatte. Afwijkende transactiebeschrijvingen zijn ‘deb.nr. 37836’ (wel: debnr.), ‘factuurnr #26189’ (‘factuurnr’ zit wel in de generator behorende bij configuratie 902, en ‘#26189’ in de generator behorende bij configuratie 510), ‘no. 28550’, ‘deb. 24767’, ‘deb. 40241’(‘no.’ en ‘deb.’ zitten niet in een bekende generator, maar zijn wel gezien in transactiebeschrijvingen met betrekking tot [moneymule 6] en [moneymule 34] en [moneymule 35]) en ‘Fnr. 19869’ en ‘Fnr. 45167’ (‘Fnr.’ zit niet in een bekende generator, maar diverse andere afkortingen van het woord ‘factuurnummer’ zitten wel in de generatoren behorende bij de configuraties 510 en 902). Dergelijke kleine aanpassingen duiden erop dat de persoon of personen die verantwoordelijk waren voor het opstellen van de TorRAT-configuraties over een langere periode een sterk vergelijkbare vormgeving van de generatoren bleven gebruiken of hergebruikten. Kleine aanpassingen en toevoegingen, zoals hier besproken, zijn daardoor goed verklaarbaar. Op grond van het voorgaande is het hof van oordeel dat de hiervoor genoemde transacties kunnen worden toegerekend aan TorRAT. [Moneymule 38] ([moneymule 38]) Naar de bankrekening van [moneymule 38], later genaamd [moneymule 38], hebben frauduleuze transacties plaatsgevonden. Er wordt door middel van een spoedopdracht € 4.750 euro aan dhr. [moneymule 14] overgeboekt. [moneymule 14] is de begunstigde waarop configuratie 712 is gericht. Vanaf diverse IP-adressen wordt zowel ingelogd op de bankrekening van [moneymule 13] als op de bankrekening van [moneymule 38] (BM 38). Met betrekking tot [moneymule 13] heeft het hof reeds vastgesteld dat op 7 september 2012 sprake is geweest van een aantal aan TorRAT toe te rekenen transacties met hem als begunstigde. Een aantal van deze IP-adressen komt blijkens bevindingen van Fox-IT voor in inloggegevens van TorRAT-begunstigden bij [benadeelde partij 1]. Meer specifiek wordt met name in de periode van 11 tot en met 13 september 2012 vanaf deze IP-adressen ingelogd op het [benadeelde partij 1] internetbankier-account van [moneymule 38]. In de aangifte van [benadeelde partij 1] worden de volgende daarmee verband houdende transacties genoemd (waarbij de eerste kolom de hoogte van het overgeschreven bedrag weergeeft, de tweede kolom de datum en het tijdstip van de transactie en de derde kolom de transactiebeschrijving): De transacties zijn afkomstig van zes verschillende zakelijke klanten. Alle transactiebeschrijvingen passen bij de generatoren die deel uitmaakten van configuraties 530 en 712. Weliswaar waren deze op een andere begunstigde gericht, maar nu niet alle configuraties bekend zijn (zo ontbreken op [benadeelde partij 1] gerichte configuraties uit de periode van 10 augustus 2012 tot 12 november 2012), is het mogelijk dat deze transacties zijn veroorzaakt door een configuratie met een aan configuratie 530 en 712 identieke generator. Bovendien zijn er twee transactiebeschrijvingen die zeer opmerkelijk zijn. Het woord ‘drankglobe’ is vrij zeldzaam. Het woord ‘quatrofox’ refereert vermoedelijk aan een in 2012 al verouderde ISDN-telefooncentrale van KPN, waarvan de correcte spelling ‘Quattrovox’ is. Hiervoor geldt daarom al helemaal dat dit een weinig gebruikt woord was. Het scenario dat de hier aan de orde zijnde transacties beïnvloed zijn door TorRAT acht het hof extreem veel waarschijnlijker dan het scenario dat deze zijn beïnvloed of veroorzaakt door andere malware die eveneens transacties genereerde met beide zeldzame woorden in de transactiebeschrijvingen. Op grond van het voorgaande is het hof van oordeel dat de hiervoor genoemde transacties kunnen worden toegerekend aan TorRAT. Nu de feitelijke benadeling door de transacties 5, 9 en 10 nihil is geweest, leidt deze vaststelling er niet toe dat deze drie transacties op zichzelf deel uitmaken van het onder 1 tenlastegelegde handelen. Maar deze vaststelling heeft wel betekenis voor de beoordeling van feit 2. [Moneymule 39] Op 22 november 2012 schrijft Ching aan Cheng: “Hey kerel, Hierbij 2 nieuwe [benadeelde partij 2] rekeningen, (...) geboorte datum [geboortedatum 2] Naam [moneymule 39] (...) Graag alle 2 openzetten en wellicht ook op [benadeelde partij 2] groot!”(BM 66). Op de mobiele telefoon die op 07 december 2012 werd aangetroffen in de fouillering van de verdachte staat een op 6 december 2012 ontvangen SMS-bericht met als inhoud: “[rekeningnummer 25] [moneymule 39]” (BM 114). Dit bericht was afkomstig van telefoonnummer [telefoonnummer 1], waarvan aannemelijk is dat dit door de medeverdachte [medeverdachte 5] werd gebruikt (BM 112). [moneymule 39] heeft onder meer verklaard dat hij eind november 2012 zag dat er meerdere grote bedragen op zijn bankrekening waren gestort en dat hij begin november 2012 was benaderd door de medeverdachte [medeverdachte 3]. Deze had hem gevraagd of er geld voor hem op zijn bankrekening gestort mocht worden. Zij hebben toen afgesproken dat als het geld op de bankrekening van [moneymule 39] stond, hij dat eraf zou halen en aan de medeverdachte [medeverdachte 3] zou geven. Op of enkele dagen na 28 november 2012 heeft hij enkele malen geldbedragen opgenomen en die aan de medeverdachte [medeverdachte 3] gegeven. De medeverdachte [medeverdachte 3] heeft in zijn verhoren bevestigd dat hij ervoor gezorgd heeft dat [moneymule 39] op diens bankrekening geldbedragen gestort kreeg. Toen er geld op stond, zijn de medeverdachte [medeverdachte 3], [moneymule 39] en een derde man dat eraf gaan halen. Het ging om een paar duizenden euro, waarvan het merendeel naar de derde man ging (BM 143). In de aangifte van [benadeelde partij 1] worden de volgende daarmee verband houdende transacties genoemd (waarbij de eerste kolom de hoogte van het overgeschreven bedrag weergeeft, de tweede kolom de datum en het tijdstip van de transactie en de derde kolom de transactiebeschrijving): De transacties zijn afkomstig van twee verschillende zakelijke klanten. De betalingskenmerken lijken nauwelijks op die van de bekende generatoren. De transacties dateren echter van meer dan twee maanden na de laatste bekende configuratie. Het is niet uitgesloten dat de generatoren in een dergelijk lange periode verder zijn geëvolueerd, bijvoorbeeld om aan de door de banken geïmplementeerde filters te ontkomen. Nadere beschouwing van de betalingskenmerken laat zien dat de laatste drie van één bedrijf afkomstig zijn, en alle op exact hetzelfde tijdstip zijn gedaan. Het ligt niet voor de hand dat een natuurlijk persoon van dezelfde crediteur op hetzelfde moment zowel twee salarissen (van verschillende hoogte) als een uitkering over dezelfde maand uitbetaald krijgt. Het ligt evenmin voor de hand dat een bedrijf aan een natuurlijk persoon kinderalimentatie betaalt en dat een bedrijf een debiteurennummer heeft bij een natuurlijk persoon en een factuur van die natuurlijk persoon betaalt. Deze constateringen maken aannemelijk dat de betreffende transacties geen reguliere herkomst hebben. In samenhang met de overige bevindingen rondom de betrokkenheid van enkele medeverdachten rondom de inzet van [moneymule 39] als moneymule leidt dit tot het oordeel dat de hiervoor genoemde transacties kunnen worden toegerekend aan TorRAT. [Moneymule 44] Op 28 november 2012 schrijft Ching aan Cheng (TorMail #004, BM 42): "Hierbij de [bankpas benadeelde partij 1], hij kan cashen maar denk dat beter is om door te boeken. Heb geen idee wat je hij de [benadeelde partij 1] halen kunt maar is waarschijnlijk niet veel, paar k schat ik in. Naam Dhr. [moneymule 44] Reknr [rekeningnummer 28] (...)” In de aangifte van [benadeelde partij 1] van 18 december 2013 worden de volgende daarmee verband houdende transacties genoemd (waarbij de eerste kolom de hoogte van het overgeschreven bedrag weergeeft, de tweede kolom de datum van de transactie en de derde kolom de transactiebeschrijving): € 465,89 06-12-2012 Salaris november € 732,70 06-12-2012 Salaris november € 912,66 06-12-2012 Salaris november Voorts wordt in de aangifte vermeld dat eveneens op 6 december 2012, nadat genoemde transacties hadden plaatsgevonden, € 2.100,-- is overgeschreven naar een rekening die op dat moment op naam stond van een persoon waarvan de personalia overeenkomen met die van de medeverdachte [medeverdachte 3] (BM 7). De transacties zijn afkomstig van één zakelijke klant. De betalingskenmerken lijken nauwelijks op die van de bekende generatoren. Ze zijn echter vrijwel identiek aan enkele transactiebeschrijvingen die zijn gebruikt ten aanzien van [moneymule 39]. Deze transacties en die ten aanzien van [moneymule 39] hebben kort na elkaar plaatsgevonden. De transacties dateren van meer dan twee maanden na de laatste bekende configuratie. Het is niet uitgesloten dat de generatoren in een dergelijk lange periode verder zijn geëvolueerd, bijvoorbeeld om aan de door de banken geïmplementeerde filters te ontkomen. Nadere beschouwing van de betalingskenmerken laat zien dat de transacties binnen een tijdsbestek van 11 seconden zijn gedaan. Het ligt niet voor de hand dat een natuurlijk persoon van dezelfde crediteur op hetzelfde moment drie salarissen (van verschillende hoogte) uitbetaald krijgt. Deze constateringen maken aannemelijk dat de betreffende transacties geen reguliere herkomst hebben. Gezien voorts de onmiskenbare overeenkomsten tussen hetgeen in genoemde TorMail werd besproken en hetgeen daadwerkelijk heeft plaatsgevonden, komt het hof tot het oordeel dat de hiervoor genoemde transacties kunnen worden toegerekend aan TorRAT. [Moneymule 40] [[moneymule 40]] [moneymule 40] heeft verklaard dat zij door de medeverdachte [medeverdachte 3] is gevraagd om een [benadeelde partij 2]-rekening te openen, zodat nerds die hij kende via de computer geld van banken op haar bankrekening konden zetten. Alle instructies voor het openen van de bankrekening heeft zij via WhatsApp van hem ontvangen. De bankpas die zij hiervoor heeft ontvangen heeft zij direct aan deze medeverdachte [medeverdachte 3] overhandigd. Uit de transcriptie van deze WhatsApp gesprekken blijkt dat er vanaf 16 november 2012 intensief contact is geweest tussen [moneymule 40] en de medeverdachte [medeverdachte 3] over met name het openen van deze bankrekening met nummer [rekeningnummer 26]. Op 23 november 2012 rond 17:00 stuurt de medeverdachte [medeverdachte 3] de volgende berichten naar [moneymule 40]: “Tink dt ut einde oefening is”, “Maja ze bkokeere ut gwn za lang ee wolle” en “Nee hie is beveesn dn kin net 1 dr merr wot mij”, hetgeen volgens de aangifte zou betekenen “Nee hij is bevroren dan kan niet 1 er meer bij volgens mij” (BM 2). Op 23 november 2012 schrijft Cheng aan Cheng (BM 49): “[rekeningnummer 26] (...) Mw [moneymule 40]” In de aangifte van [benadeelde partij 2] worden de volgende daarmee verband houdende transacties genoemd (waarbij de eerste kolom de hoogte van het overgeschreven bedrag weergeeft, de tweede kolom de datum van de transactie en de derde kolom de transactiebeschrijving): € 35.000,-- 23-11-2012 Boeking 30482€ 35.000,-- 23-11-2012 factuurnr 35597€ 30.492,-- 23-11-2012 fac 11945 De transactiebeschrijvingen passen zowel bij de generator die deel uitmaakte van configuratie 510 als bij de generator die deel uitmaakte van configuratie 902. Weliswaar waren deze op een andere begunstigde gericht, maar nu niet alle configuraties bekend zijn (zo dateert de laatste inhoudelijk bekende configuratie van 25 september 2012 en dateert de laatste op [benadeelde partij 2] gerichte configuratie van 16 november), is het mogelijk dat de persoon of personen die verantwoordelijk waren voor het opstellen van de TorRAT-configuraties hebben teruggegrepen op eerder gebruikte generatoren. Op grond van het voorgaande is het hof van oordeel dat voornoemde transacties kunnen worden toegerekend aan TorRAT. Nu de feitelijke benadeling nihil is geweest, leidt deze vaststelling er niet toe dat deze transacties op zichzelf deel uitmaken van het onder 1 tenlastegelegde handelen. Maar deze vaststelling heeft wel betekenis voor de beoordeling van feit 2. [Moneymule 41] De internet dongel XSVV66.01.009, die in beslag is genomen in de auto van de verdachte, wordt op 26 september 2012 zeer waarschijnlijk gebruikt om een bedrag van € 1.863,75 van [moneymule 41] naar een bankrekening ten name van [betrokkene 1] over te maken (BM 38). [betrokkene 1] was volgens de medeverdachte [medeverdachte 2] samen met hem betrokken bij [moneymule 37]. Het IP-adres [IP-adres 6] blijkt op 27 augustus 2013 in gebruik te zijn bij een persoon met het adres [adres 4]. Het gaat hierbij een om ADSL-aansluiting. Uit het dossier blijkt dat op 8 november 2012 vanaf dit IP-adres is ingelogd op het internet-bankieren-account van [moneymule 26]. Uit het dossier blijkt voorts dat de kans dat zowel op 8 november 2012 als op 27 augustus 2013 dezelfde persoon dit IP-adres gebruikte, zeer groot is, nu een ADSL-aansluiting in principe statisch van aard is en dus de gebruiker van het IP-adres in beginsel niet verandert (BM 38). Uit het dossier blijkt voorts dat met gebruikmaking van dit IP-adres op 13 augustus 2012 is ingelogd op het [benadeelde partij 1]-internetbankier-account van [moneymule 42], en op 28 september 2012 op het [benadeelde partij 1]-internetbankier-account van [moneymule 41] (BM 38). De getuige [getuige 2] heeft op 15 november 2012 verklaard dat [voornaam betrokkene 2] ([achternaam betrokkene 2]) en [voornaam medeverdachte 3] (de medeverdachte [medeverdachte 3]) regelmatig in een internetcafé aan de [adres 7] kwamen dat naast een dagopvang voor daklozen zit (BM 1). Uit openbare bronnen (Google Maps/Streetview) blijkt dat op het adres [adres 4] in de periode van 2009 tot 2018 een internetcafé gevestigd was, en dat in diezelfde periode op het adres [adres 5] een dagopvang van het Leger des Heils gevestigd was. Het hof acht het voor eenieder van de rechtstreeks bij het geding betrokkenen zonder meer duidelijk dat het hier gaat om een algemeen bekend gegeven met betrekking tot de plaatselijke gesteldheid op of aan de openbare weg, dat (ook) uit de algemeen toegankelijke bron Google Maps/Streetview zonder noemenswaardige moeite of specialistische kennis te achterhalen valt. In de aangifte van [benadeelde partij 1] worden de volgende daarmee verband houdende transacties genoemd (waarbij de eerste kolom de hoogte van het overgeschreven bedrag weergeeft, de tweede kolom de datum en het tijdstip van de transactie en de derde kolom de transactiebeschrijving): De transacties zijn afkomstig van vijf verschillende zakelijke klanten. De transactiebeschrijvingen passen merendeels ofwel bij de generator die deel uitmaakte van configuratie 510 ofwel bij de generator die deel uitmaakte van configuratie 902. Weliswaar waren deze op een andere begunstigde gericht, maar nu niet alle configuraties bekend zijn (zo ontbreken met betrekking tot [benadeelde partij 1] configuraties over de periode van 6 september 2012 tot 12 november 2012) is het mogelijk dat deze transacties zijn veroorzaakt door een configuratie met generator die elementen van zowel configuratie 510 als configuratie 902 bevatte. De uiteenlopende data van deze beide configuraties duiden erop dat de persoon of personen die verantwoordelijk waren voor het opstellen van de TorRAT-configuraties over een langere periode een sterk vergelijkbare vormgeving van de generatoren bleven gebruiken of hergebruikten. Bovendien komt het gebruik van ‘no.’ en ‘deb.’ in reeds aan TorRAT toegerekende transacties voor in configuraties die vanaf 15 augustus 2012 actief waren ([moneymule 6], [moneymule 34] en [moneymule 35], [moneymule 37]). Deze afwijkingen ten opzichte van inhoudelijke bekende configuraties zijn daardoor goed verklaarbaar. Op grond van het voorgaande is het hof van oordeel dat voornoemde transacties kunnen worden toegerekend aan TorRAT. Nu de feitelijke benadeling door de transacties op 27 september 2012 nihil is geweest, leidt deze vaststelling er niet toe dat deze transacties op zichzelf deel uitmaken van het onder 1 tenlastegelegde handelen. Maar deze vaststelling heeft wel betekenis voor de beoordeling van feit 2. [moneymule 42] [moneymule 42] heeft verklaard dat hij aan een jongen die [moneymule 43] heet, en die door de politie op zijn aanwijzingen is geïdentificeerd als [moneymule 43] (BM H), zijn bankpas heeft afgegeven, omdat die [moneymule 43] mensen kende die wat met geld deden. [moneymule 43] had gezegd dat hij aan een hoop geld kon komen. Hij denkt dat hij de pas ongeveer vier uur kwijt is geweest. Toen hij samen met [moneymule 43] geld wilde gaan opnemen, is de bankpas ingenomen. Dit gebeurde rond de zomer van 2012 (BM I). [moneymule 43] legde verantwoording af aan een derde persoon. Het IP-adres [IP-adres 6] blijkt op 27 augustus 2013 in gebruik te zijn bij een persoon met het adres [adres 4]. Het gaat hierbij een om ADSL-aansluiting. Uit het dossier blijkt dat op 8 november 2012 vanaf dit IP-adres is ingelogd op het internet-bankieren-account van [moneymule 26]. Uit het dossier blijkt voorts dat de kans dat zowel op 8 november 2012 als op 27 augustus 2013 dezelfde persoon dit IP-adres gebruikte, zeer groot is, nu een ADSL-aansluiting in principe statisch van aard is en dus de gebruiker van het IP-adres in beginsel niet verandert (BM 38). Uit het dossier blijkt voorts dat met gebruikmaking van dit IP-adres op 13 augustus is 2012 ingelogd op het [benadeelde partij 1]-internetbankier-account van [moneymule 42], en op 28 september 2012 op het [benadeelde partij 1]-internetbankier-account van [moneymule 41] (BM 38). De getuige [getuige 2] heeft op 15 november 2012 verklaard dat [voornaam betrokkene 2] ([achternaam betrokkene 2]) en [voornaam medeverdachte 3] (de medeverdachte [medeverdachte 3]) regelmatig in een internetcafé aan de [adres 7] kwamen dat naast een dagopvang voor daklozen zit. Uit openbare bronnen (Google Maps/Streetview) blijkt dat op het adres [adres 4] in de periode van 2009 tot 2018 een internetcafé gevestigd was, en dat in diezelfde periode op het adres [adres 5] een dagopvang van het Leger des Heils gevestigd was. Het hof acht het voor eenieder van de rechtstreeks bij het geding betrokkenen zonder meer duidelijk dat het hier gaat om een algemeen bekend gegeven met betrekking tot de plaatselijke gesteldheid op of aan de openbare weg, dat (ook) uit de algemeen toegankelijke bron Google Maps/Streetview zonder noemenswaardige moeite of specialistische kennis te achterhalen valt. Een kopie van het rijbewijs van [moneymule 42] werd aangetroffen in de woning van de medeverdachte [medeverdachte 5] (BM J). In de aangifte van [benadeelde partij 1] worden de volgende met deze persoon verband houdende transacties genoemd (waarbij de eerste kolom de hoogte van het overgeschreven bedrag weergeeft, de tweede kolom de feitelijke schade, de derde kolom de datum en het tijdstip van de transactie en de vierde kolom de transactiebeschrijving): De transacties zijn afkomstig van één zakelijke klant. De eerste en laatste transactiebeschrijving passen bij de generatoren die deel uitmaakten van configuraties 530 en 712. Weliswaar waren deze op een andere begunstigde gericht, maar nu niet alle configuraties bekend zijn (zo ontbreken op [benadeelde partij 1] gerichte configuraties uit de periode van 10 augustus 2012 tot 12 november 2012), is het mogelijk dat deze transacties zijn veroorzaakt door een configuratie met een aan configuratie 530 en 712 identieke generator. De betalingskenmerken ‘bet tekentafel’ en ‘betalingen lampen’ kunnen niet door een bekende configuratie zijn gegenereerd, nu de woorden ‘tekentafel’ en ‘betalingen’ daar niet in voorkomen. Het hof wijst er wel op dat het opmerkelijk is dat alle transacties in een periode van 2 seconden hebben plaatsgevonden en afkomstig zijn van dezelfde overboeker, maar desalniettemin verschillende schrijfwijzen laten zien die niet logisch verklaarbaar zijn (het gebruik van “betaling”, “bet” en “betalingen”), hetgeen typerend is voor de willekeurige wijze waarop de generatoren in de twee genoemde TorRAT-configuraties deze woorden kiezen. Hetgeen hiervoor is vastgesteld met betrekking tot de werking van generatoren duidt erop dat de persoon of personen die verantwoordelijk waren voor het opstellen van de TorRAT-configuraties over een langere periode een sterk vergelijkbare vormgeving van de generatoren bleven gebruiken of hergebruikten. Toevoegingen en variaties, zoals het gebruik van ‘Betalingen’ terwijl in de bekende configuraties al ‘betaling’, ‘Betaling’, ‘Bet’, ‘bet’, ‘bet:’ en ‘Bet:’ voorkomen en de introductie van ‘tekentafel’ naast een groot aantal daarmee verwante termen (zoals ‘tekenset’, ‘stationery’ etc.) zijn daardoor goed verklaarbaar. Op grond van het voorgaande is het hof van oordeel dat voornoemde transacties kunnen worden toegerekend aan TorRAT. Nu de feitelijke benadeling als gevolg van deze transacties nihil is geweest, leidt deze vaststelling er niet toe dat deze transacties op zichzelf deel uitmaken van het onder 1 tenlastegelegde handelen. Maar deze vaststelling heeft wel betekenis voor de beoordeling van feit 2. [Moneymule 43] [[moneymule 43]] Blijkens de aangifte van [aangever 4] (BM 18) is er door iemand die zich toegang heeft verschaft tot het internetbankieren van dat bedrijf een bedrag overgeboekt naar [moneymule 43], betreffende ‘betaling koelkast’, het daarbij gebruikte rekeningnummer betreft [rekeningnummer 27]. In de aangifte wordt ook gesproken over twee geblokkeerde betalingen aan [moneymule 2]. Daarnaast is [moneymule 43] door [moneymule 42] aangewezen als de persoon die hem heeft geronseld als moneymule. In de aangifte van [benadeelde partij 1] worden de volgende met deze persoon verband houdende transacties genoemd (waarbij de eerste kolom de hoogte van het overgeschreven bedrag weergeeft, de tweede kolom de feitelijke schade, de derde kolom de datum en het tijdstip van de transactie en de vierde kolom de transactiebeschrijving): De transacties zijn afkomstig van twee verschillende zakelijke klanten, waaronder [aangever 4]. Beide transactiebeschrijvingen passen niet bij bekende configuraties, noch het woord ‘betaald’, noch ‘audio set’ komen daarin voor. Deze termen komen evenmin voor in een groter geheel van transacties die niet aan een inhoudelijk bekende configuratie konden worden toegeschreven, maar toch op andere gronden aan TorRAT zijn toegerekend. Het voorgaande leidt tot het oordeel dat de betreffende transacties niet kunnen worden toegerekend aan TorRAT. 4Witwassen Uit de bijlagen bij de aangiften van de banken, verklaringen van diverse moneymules en het politieonderzoek (BM 32) blijkt dat geldbedragen die succesvol werden overgeboekt naar de bankrekeningen van moneymules veelal contant werden gemaakt door middel van betalingen of werden omgezet in bitcoins, al dan niet nadat zij eerst waren doorgeboekt n