Die Experten von Kaspersky Lab haben mit ,CryptoShuffler‘ eine Malware entdeckt, die Kryptowährungen aus Wallets entwendet, indem sie die Wallet-Adresse durch eine eigene ersetzt[1]. Cyberkriminelle konnten so bisher fast 140.000 US-Dollar erbeuten. Ziel sind beliebte digitale Währungen wie Bitcoin, Ethereum, Zcash, Dash oder Monero. Für letztere identifizierten die Cybersicherheitsexperten mit ,DiscordiaMiner‘ auch einen neuen Trojaner zum Schürfen (Mining) von Kryptogeld. Zudem geht aus dem Spam- und Phishing-Report von Kaspersky Lab für das dritte Quartal 2017[2] hervor, dass vermehrt Spam-Mails mit dem Thema Kryptowährung im Umlauf sind.
Zwischen Juli und September 2017 identifizierten die Experten von Kaspersky Lab die folgenden Spam-Betrugsmaschen, die im Zusammenhang mit Kryptowährungen auftauchten:
„Kryptowährungen sind keine ferne Technologie mehr“, so Sergey Yunakovsky, Malware-Analyst bei Kaspersky Lab. „Sie halten Einzug in unser Leben und verbreiten sich auf der ganzen Welt – und werden so für Nutzer zugänglicher und für Kriminelle attraktiver. Seit einiger Zeit sehen wir eine Zunahme von Malware-Angriffen, die auf verschiedene Arten von Kryptowährungen abzielen. Wir erwarten, dass sich dieser Trend fortsetzen wird. Nutzer, die zu diesem Zeitpunkt Investitionen in Kryptowährungen in Erwägung ziehen, sollten sich daher Gedanken darüber machen, ob sie entsprechend geschützt sind.“
Der Trojaner ,CryptoShuffler‘ ändert die Adressen der Wallets im Clipboard, einer Software zur kurzfristigen Speicherung von Daten des infizierten Gerätes. Solche Hijacking-Attacken auf Clipboards sind seit Jahren bekannt. Sie leiten Nutzer auf schädliche Webseiten weiter und zielen auf Online-Bezahlsysteme ab.
Nach der Installation beginnt ,CryptoShuffler‘ mit der Überwachung des bei der Zahlung verwendeten Clipboards. Dabei werden die Nummern der Wallets kopiert und in die Zeile ,Zieladresse‘ der Software eingefügt, die zur Ausführung einer Transaktion verwendet wird. Der Trojaner ersetzt dabei die Wallet des Nutzers durch eine eigene: wenn der Nutzer die Wallet-ID in die Zieladressenzeile einfügt, ist dies nicht die Adresse, an die ursprünglich Geld gesendet werden sollte; das Opfer sendet damit das Geld direkt an die Cyberkriminellen.
Der Austausch im Clipboard findet aufgrund einer einfachen Suche nach Wallet-Adressen sofort statt: Der Großteil der Wallets hat eine feste Position in der Transaktionszeile und verwendet immer eine bestimmte Anzahl von Zeichen. Auf diese Weise können Eindringlinge problemlos reguläre Codes erstellen, um sie zu ersetzen.
Basierend auf den Beobachtungen durch Kaspersky Lab waren vor allem Angriffe auf Bitcoin-Wallets erfolgreich. Bisher konnten die Cyberkriminellen durch diese Masche Bitcoins im Wert von fast 140.000 US-Dollar erbeuten.
Darüber hinaus haben die Experten einen weiteren Trojaner gefunden, der auf die Krypotowährung Monero abzielt und für den Upload und das Ausführen von Dateien von einem Remote-Server konzipiert wurde: ,DiscordiaMiner‘. Den Untersuchungen zufolge gibt es Ähnlichkeiten mit dem Trojaner ‚NukeBot‘, der bereits Anfang des Jahres entdeckt wurde. Wie auch bei ‚NukeBot‘[3] wurden die Quellcodes des Trojaners in Untergrund-Hacking-Foren verbreitet.
Kaspersky-Lösungen entdecken und blockieren die Malware, mit den folgenden Bezeichnungen:
[1]https://securelist.com/tales-from-the-blockchain/82971/
[2]https://securelist.com/spam-and-phishing-in-q3-2017/82901
[3]https://securelist.com/the-nukebot-banking-trojan-from-rough-drafts-to-real-threats/78957/