Ein Millionenspiel: CryptoRom-Betrüger ruinieren arglose Nutzer mit ausgebufftem Social Engineering. Der Missbrauch von iOS TestFlight und WebClips im Zusammenspiel mit Social Engineering und Fake-Webseiten treibt viele der Opfer bis in den Ruin.
Sophos hat einen neuen Bericht „CryptoRom Swindlers Continue to Target Vulnerable iPhone/Android Users“ über den international verbreiteten Kryptowährungsbetrug CryptoRom veröffentlicht. Diese Masche zielt auf iPhone- und Android-Nutzer:innen mit Hilfe beliebter Dating-Apps wie Bumble und Tinder. Wie aus dem Report hervorgeht, wurden die Konten der Opfer eingefroren, sobald diese versuchten, ihre Investitionen von der Fake-Plattform abzuziehen. Zudem wurden ihnen teils Hunderttausende von Euro an sogenannter „Steuer“ in Rechnung gestellt, um wieder Zugriff zu erhalten.
Die Dating-Masche
Dating-Kontakte empfehlen gefakte Investments mit hohen Gewinnen.
In einem Fall wurden einem Opfer 625.000 US-Dollar (knapp 570.000 Euro) in Rechnung gestellt, um wieder Zugriff auf die 1 Million US-Dollar zu erhalten, die es in ein gefälschtes Krypto-Handelsmodell investiert hatte. Dem Opfer wurde dieser „Invest“ von einer Person empfohlen, die er auf einer Online-Dating-Plattform kennengelernt hatte. Der Dating-Kontakt behauptete dann, etwas von seinem eigenen Geld investiert zu haben, um den gemeinsamen Anteil auf 4 Millionen Dollar zu erhöhen. Die Betrüger sagten daraufhin, dass mit der Investition ein Gewinn von 3,13 Millionen Dollar erzielt worden und eine Gewinnsteuer von 20 Prozent (625 000 Dollar) zu zahlen sei. Diese Steuer sei nötig, um wieder auf das Konto zugreifen und das Geld abzuheben zu können. In Wirklichkeit waren weder die Co-Investition noch die Gewinne echt, und der Online-„Freund“ war Teil des Betrugs.
Investment-Tipps per Dating-Chat
„Es ist äußerst besorgniserregend, dass die Menschen weiterhin auf diese kriminellen Machenschaften hereinfallen, zumal die Nutzung von Transaktionen ins Ausland und die unregulierten Kryptowährungsmärkte bedeuten, dass die Opfer keinen rechtlichen Schutz für die von ihnen investierten Gelder haben“, sagt Jagadeesh Chandraiah, Security-Experte bei den SophosLabs. „Dies ist ein Problem, das bleiben wird. Wir brauchen eine Rückverfolgbarkeit von Kryptowährungstransaktionen, eine offensivere Warnung der Nutzer:innen vor diesen Betrügereien und die schnelle Erkennung und Entfernung der gefälschten Profile, die diese Betrügereien ermöglichen.“
Diese Art des Cyberbetrugs, bekannt als „sha zhu pan“ – wörtlich Schweineschlachtplatte – ist gut organisiert und nutzt eine Kombination aus Social Engineering und betrügerischen Finanzanwendungen und Websites. Opfer werden umgarnt, um ihre Ersparnisse zu stehlen. Anfangs konzentrierten sich diese Betrügereien auf den asiatischen Raum, seit Oktober 2021 registriert Sophos allerdings eine weltweite Ausbreitung.
Missbrauch von Apple iOS TestFlight und iOS WebClips
Apps für Android und iOS wurden über eine betrügerische Website verbreitet. Die iOS-Version der gefälschten Anwendung verwendete TestFlight, um sie auf den Geräten der Opfer bereitzustellen (Bild: Sophos).
Im Sophos Bericht werden einige der gefälschten mobilen Apps und Websites sowie die Social-Engineering-Techniken beleuchtet, die von den Malware-Betreibern eingesetzt werden und die Sicherheitsüberprüfung des Apple iOS App Store umgehen, um die Schadsoftware zu verteilen.
Bisher hatte Sophos festgestellt, dass die betrügerischen Anwendungen von CryptoRom für iOS-Geräte das Apple „Super Signature“-Verteilungsschema und Apples Schema für die Bereitstellung von Unternehmensanwendungen missbrauchte. Jetzt beobachten die Expert:innen zudem, dass zunehmend Apple TestFlight für die kriminellen Machenschaften eingesetzt wird.
Fehlende Sicherheitsüberprüfung macht es einfacher
TestFlight wird zum begrenzten Testen der Beta-Version von Anwendungen verwendet, bevor sie im App Store bereitgestellt werden. Die E-Mail-basierte Verteilung erfordert keine Sicherheitsüberprüfung durch den App Store, während TestFlight-Apps, die über öffentliche Weblinks verbreitet werden, eine erste Überprüfung des Codes durch den App Store erfordern. „Leider ist ‚TestFlight Signature‘, wie auch andere von Apple unterstützte App-Verteilsysteme, als gehosteter Dienst für die alternative iOS-App-Bereitstellung verfügbar. Dies macht Malware-Autoren den Missbrauch leicht – auch mit CryptoRom“, so Chandraiah.
Viele iPhone-Nutzer:innen, mit denen Sophos gesprochen hat und die auf die betrügerischen Apps gestoßen sind, wurden mit einer weiteren Methode zur Umgehung des App Stores verführt: Sie erhielten URLs, die iOS WebClips bedienen. WebClips sind Daten für die Verwaltung mobiler Geräte, die einen Link zu einer Webseite direkt in den Startbildschirm des iOS-Geräts einfügt, so dass sie für weniger versierte Benutzer:innen wie eine typische Anwendung aussieht. Bei der Untersuchung einer der CryptoRom-URLs fand Sophos verwandte IPs, die App-Store-ähnliche Seiten, aber mit unterschiedlichen Namen und Symbolen hosteten. Zu den „Apps“ gehörte eine, die die beliebte Robinhood-Anwendung als „RobinHand“ nachahmt. Das Logo ähnelt der von Robinhood.
Trickreiche Herangehensweise
Die Cybergangster nutzen diverse Methoden, um eine Beziehung zu ihren Zielpersonen aufzubauen, ohne sie jemals persönlich zu treffen. Dating-Websites und Dating-Anwendungen sowie andere Plattformen für soziale Netzwerke werden intensiv genutzt, um neue Opfer zu finden. In einigen Fällen wurden auch scheinbar zufällige WhatsApp-Nachrichten initiiert, in denen die Betrüger den Empfängern Investitions- und Handelstipps anboten, einschließlich Links zu CryptoRom-Websites. Oft enthielten diese Nachrichten Versprechungen über große finanzielle Gewinne. Die Vermutung liegt nahe, dass die Kriminellen die Kontaktinformationen ihrer Zielpersonen entweder über deren eigene Social-Media-Konten oder über kompromittierte Websites erhalten.
CryptoRom-Betrug floriert immer weiter
CryptoRom-Betrug floriert durch die Kombination von Social Engineering, Kryptowährung und gefälschten Anwendungen. Die Kriminellen sind gut organisiert und geschickt darin, Opfer auf der Grundlage ihrer Situation, ihrer Interessen und ihrer technischen Fähigkeiten zu identifizieren und auszunutzen.
Mehr bei Sophos.com
Über Sophos Mehr als 100 Millionen Anwender in 150 Ländern vertrauen auf Sophos. Wir bieten den besten Schutz vor komplexen IT-Bedrohungen und Datenverlusten. Unsere umfassenden Sicherheitslösungen sind einfach bereitzustellen, zu bedienen und zu verwalten. Dabei bieten sie die branchenweit niedrigste Total Cost of Ownership. Das Angebot von Sophos umfasst preisgekrönte Verschlüsselungslösungen, Sicherheitslösungen für Endpoints, Netzwerke, mobile Geräte, E-Mails und Web. Dazu kommt Unterstützung aus den SophosLabs, unserem weltweiten Netzwerk eigener Analysezentren. Die Sophos Hauptsitze sind in Boston, USA, und Oxford, UK.