Laut einer neuen Warnung des Cybersecurity-Unternehmens Malwarebytes sind Kryptowährungshändler Ziel einer Malware-Kampagne, die sich über Reddit verbreitet.
Der Angriff verbreitet bösartige Versionen der beliebten Handelsplattform TradingView. Er besteht aus verschiedenen Varianten, die sowohl Windows- als auch Mac-Systeme kompromittieren sollen.
Die Malware-Betreiber posten in Cryptocurrency-Trading-Subreddits und bieten angeblich “geknackte” Versionen von TradingView Premium an, die angeblich kostenlosen Zugang zu Premium-Funktionen bieten.
Diese Beiträge enthalten Download-Links zu infizierten Softwarepaketen, die Lumma Stealer für Windows-Benutzer und Atomic Stealer (AMOS) für Mac-Benutzer enthalten.
Es handelt sich um zwei leistungsstarke Malware-Familien, die darauf abzielen, sensible Daten zu stehlen und sich dabei besonders auf Kryptowährungs-Wallets konzentrieren.
Social-Engineering-Taktiken auf Reddit
Die Hacker haben auf Reddit einen Social-Engineering-Ansatz entwickelt, bei dem sie nicht nur erste Beiträge verfassen, in denen sie die “geknackte” Software anbieten, sondern auch aktiv mit potenziellen Opfern in den Kommentar-Threads in Kontakt treten.
Zu dieser Interaktion gehören beruhigende Antworten auf Benutzer, die Sicherheitsbedenken äußern.
In einem von Malwarebytes geteilten Beispiel, als das Thema Sicherheit angesprochen wurde, kommentierte der ursprüngliche Poster, dass “ein echter Virus auf einem Mac wild wäre”.
Die bösartigen Downloads werden auf einer Website gehostet. Die Website gehörte zu einer Reinigungsfirma in Dubai – und nicht zu einem gewöhnlichen File-Sharing-Dienst wie Mega.
Die Forscher von Malwarebytes stellen fest, dass diese ungewöhnliche Wahl darauf hinweisen könnte, dass die Angreifer die Website kompromittiert haben oder sie direkt kontrollieren.
Dies ermöglicht es ihnen, “ihren Code direkt über einen von ihnen kontrollierten Server hochzuladen und zu aktualisieren.”
Eine weitere rote Fahne in der Kampagne ist die Verbreitungsmethode der schädlichen Dateien.
Sowohl die Windows- als auch die Mac-Version werden als doppelt gezippte Archive mit Passwortschutz geliefert.
Krypto Nachrichten: Technische Analyse enthüllt mächtige Möglichkeiten zum Datenklau
Die Malwarebytes-Analyse der beiden Malware-Varianten zeigt, dass sie speziell auf die Nutzer von Kryptowährungen ausgerichtet sind.
Die Mac-Version verwendet eine neue Variante von Atomic Stealer (AMOS). Sie verfügt über zusätzliche Anti-Analyse-Funktionen, um sich der Entdeckung zu entziehen und Sicherheitsforscher daran zu hindern, sein Verhalten zu untersuchen.
Die technische Untersuchung zeigte den von der Mac-Malware verwendeten Datenexfiltrationsmechanismus, der gestohlene Informationen über POST-Anfragen an einen Server mit der IP-Adresse 45.140.13.244 auf den Seychellen sendet.
Dieser Server dient wahrscheinlich als Sammelstelle für gesammelte Anmeldeinformationen, Brieftascheninformationen und andere sensible Daten.
Die Malware-Varianten sind darauf ausgelegt, sensible Informationen vom Computer des Opfers zu stehlen. Besonderes Augenmerk liegt dabei auf den Anmeldeinformationen für Kryptowährungs-Wallets, privaten Schlüsseln und Authentifizierungsdaten.
Sobald diese Informationen extrahiert wurden, können die Angreifer sie nutzen, um Gelder aus den Kryptowährungsbeständen des Opfers in Wallets unter ihrer Kontrolle zu transferieren.
Schutzmaßnahmen und Warnzeichen für Krypto-Nutzer
Malwarebytes gibt mehrere wichtige Warnzeichen an, auf die Kryptowährungshändler achten sollten, um nicht Opfer dieser und ähnlicher Malware-Kampagnen zu werden.
Das Cybersicherheitsunternehmen betont, dass “geknackte Software schon seit Jahrzehnten anfällig für Malware ist.
Aber offensichtlich ist die Verlockung eines kostenlosen Mittagessens für viele Nutzer immer noch sehr verlockend”.
Eines der wichtigsten Warnsignale ist die Anweisung, Sicherheitssoftware zu deaktivieren, bevor Sie das Programm ausführen.
Die Forscher warnen die Benutzer, niemals “das Antivirusprogramm zu deaktivieren, das versucht, Sie zu schützen”. Diese Aufforderung ist fast immer ein Hinweis auf bösartige Absichten.
Passwortgeschützte Archive sind ein weiteres Warnzeichen. Seriöse Software-Vertreiber verwenden den Passwortschutz gelegentlich für spezielle Zwecke.
In Malware-Kampagnen wird diese Technik jedoch in erster Linie eingesetzt, um Sicherheitsscanner daran zu hindern, den Inhalt zu analysieren.
Sowohl die Windows- als auch die Mac-Malware-Variante dieser Kampagne wurden in doppelt gezippten, passwortgeschützten Archiven verteilt, um Sicherheitstools zu umgehen.
