Krypto-Clipper tarnt sich auf Software-Plattformen

Angreifer nutzen KI-Stimmen, Fake-Reviews und manipulierte Downloadzahlen, um eine Schadsoftware für Krypto-Diebstahl als sichere Tools zu tarnen.

Sicherheitsforscher von Check Point Research haben eine Kampagne zur Verbreitung von Schadsoftware aufgedeckt, bei der die Akteure Methoden des klassischen Marketings kopieren. Um das Vertrauen potenzieller Opfer zu gewinnen, manipuliert der Angreifer systematisch die Bewertungen und Downloadzahlen auf bekannten Plattformen. Auf SourceForge wurden über 44.000 Downloads vorgetäuscht, wobei der Großteil der Zugriffe mutmaßlich über eine Android-Klickfarm generiert wurde, obwohl die angebotene Software nur für Windows und macOS existiert.

Auf GitHub betreibt der Akteur mindestens sechs Konten zur gegenseitigen Bewerbung von Repositories. Auf YouTube nutzt ein Kanal mit über 91.000 Abonnenten KI-generierte Sprecher und gefälschte positive Kommentare in Anleitungsvideos. Zudem wurden Pressemitteilungen über Distributionsdienste wie EIN Presswire verbreitet und auf Nachrichtenseiten des USA TODAY Networks platziert.

Manipulation von Sicherheitsportalen und Funktion der Krypto-Malware

Die Täuschung betrifft auch das Sicherheitsportal VirusTotal. Dort setzt der Angreifer koordinierte Netzwerke von Konten ein, um bösartige Dateien durch positive Bewertungen und Kommentare als sicher einstufen zu lassen. Das Ziel dieser Maßnahmen ist die Verbreitung eines in Rust geschriebenen Krypto-Clippers. Diese Schadsoftware tarnt sich als Automatisierungswerkzeug für den Krypto-Handel, wie etwa Sniper-Bots für Solana oder Pump.fun, sowie als Vorhersagesoftware für Online-Glücksspiele.

Nach der Installation überwacht das Programm die Zwischenablage des infizierten Betriebssystems. Sobald eine Zeichenfolge erkannt wird, die dem Muster einer Krypto-Wallet-Adresse entspricht, ersetzt die Malware diese durch eine Adresse aus einer vordefinierten Liste der Angreifer. Dadurch werden digitale Vermögenswerte bei Transaktionen unbemerkt an die Täter umgeleitet.

„Um ein bösartiges ‚Werkzeug‘ voranzutreiben, hat ein einziger Bedrohungsakteur das gleiche Handbuch entliehen, das legitime Marken verwenden, um Aufmerksamkeit zu erzeugen: künstlich aufgeblähte Downloadzahlen, koordinierte Fünf-Sterne-Bewertungen, Tutorial-Videos im Influencer-Stil und Werbung auf Plattformen, denen Menschen instinktiv vertrauen.“

Check Point

(red)