Thought Leadership
Das Phishing-Kit JWR klont Seiten von PayPal und Apple. Es überträgt Eingaben wie Kreditkarten und Passwörter live an Angreifer.
Sicherheitsforscher von Cisco Talos haben ein neuartiges Phishing-Framework namens JWR aufgedeckt. Das Baukastensystem unterscheidet sich grundlegend von herkömmlichen Betrugsseiten: Es wartet nicht darauf, dass ein Opfer das Formular durch einen Klick auf „Absenden“ bestätigt.
Stattdessen baut die Schadsoftware über eine verschlüsselte WebSocket-Verbindung (AES-CTR) einen Live-Kanal zum Befehlsserver der Angreifer auf. Tastatureingaben wie Kreditkartennummern, Passwörter oder Bestätigungscodes werden Zeichen für Zeichen in Echtzeit an die Täter übertragen. Zudem können die Angreifer den Bildschirminhalt des Opfers dynamisch steuern, etwa um gefälschte Fehlermeldungen wie „Karte abgelehnt“ einzublenden und so mehrere Zahlungskarten hintereinander abzugreifen.
Täuschend echte Klone von PayPal, Apple und Online-Shops
Das JWR-Framework enthält vorgefertigte Vorlagen zur Nachahmung bekannter Marken und Zahlungsdienstleister, darunter PayPal, Apple, Klarna, Shopify, WooCommerce sowie verschiedene Banken.
Bei Online-Shops auf Basis von Shopify oder WooCommerce greift eine spezialisierte Integration: Das Phishing-Kit liest die Daten des bestehenden Warenkorbs aus und baut diesen auf der gefälschten Kassenseite mit den echten Artikeln nach. Dadurch ist die Betrugsseite für Verbraucher kaum von der echten Zahlungsabwicklung zu unterscheiden. Neben Finanzdaten erbeuten die Täter auch Ausweisdokumente, Führerscheine, Zwei-Faktor-Kodes und Geräte-Fingerabdrücke.
Spuren führen zu chinesischen Akteuren und dem PhaaS-Dienst „Outsider“
Die Betrüger verbreiten die Links zu den JWR-Phishing-Seiten vorrangig über SMS-Nachrichten (Smishing) zu vermeintlichen Mautgebühren oder Paketlieferungen. Die Bedienoberfläche für die Angreifer ist in vereinfachtem Chinesisch gehalten, was auf chinesischsprachige Urheber hinweist.
Cisco Talos ordnet JWR „mit mittlerer Gewissheit“ als Variante der berüchtigten Phishing-as-a-Service-Plattform „Outsider“ ein. Diese war seit 2023 aktiv und verursachte weltweite Schäden von schätzungsweise 1,9 Milliarden US-Dollar in 55 Ländern. Obwohl das FBI im Juni 2026 im Rahmen der „Operation Ghost Hook“ den Dienst zerschlug, kursieren durch frühere Verkäufe über Telegram-Kanäle weiterhin aktive Varianten des Schadcodes.
(red)
