Wir haben die wichtigsten Cybersecurity-Nachrichten der Woche gesammelt.
- Ein Krypto-Clipper wurde mit gefälschter Reputation auf GitHub und YouTube verbreitet.
- Ein USB-Wurm verbreitete sich selbst über versteckte Windows-Verknüpfungen, um Kryptowährung zu stehlen.
- Die südkoreanische Strafverfolgung hat ein Netzwerk zur Geldwäsche von Kryptowährungen, das einem kambodschanischen Syndikat diente, zerschlagen.
- Forscher entdeckten einen neuen Android-Trojaner zum Stehlen von Kryptowährung.
Ein Krypto-Clipper wurde mit gefälschter Reputation auf GitHub und YouTube verbreitet.
Ein unbekannter Angreifer startete eine groß angelegte Malware-Verbreitungskampagne, die legitime Marketingtechniken nutzte, um eine gefälschte "Reputationswirtschaft" zu schaffen. Dies berichteten Spezialisten von Check Point Research.
Das ultimative Ziel der Angriffe ist es, Krypto-Clipper, die als Handelswerkzeuge in den Solana- und Pump.fun-Ökosystemen getarnt sind, sowie Software zur Vorhersage von Wett-Ergebnissen bereitzustellen.
Laut den Experten ist der Clipper selbst in Rust geschrieben und zielt auf die Betriebssysteme Windows und macOS ab. Die Malware überwacht heimlich und kontinuierlich die Zwischenablage des Geräts. Wenn sie eine kopierte Kryptowährungs-Wallet-Adresse erkennt, tauscht die Software diese sofort gegen die Daten des Angreifers aus und leitet die digitalen Vermögenswerte um.
Um das Vertrauen von Opfern – hauptsächlich Krypto-Investoren und Online-Spielern – zu gewinnen, baute der Hacker eine komplexe plattformübergreifende Infrastruktur von "Ghost Networks." Analysten verzeichneten koordinierte Aktivitäten auf der VirusTotal-Plattform: Ein Cluster von Fake-Accounts hinterließ massenhaft positive Kommentare und Likes, um bösartige Dateien fälschlicherweise als sicher zu klassifizieren.
Ähnliche Metrikmanipulationen werden auch auf anderen Ressourcen verwendet:
- GitHub und SourceForge. Der Angreifer betreibt ein Netzwerk von Accounts, um Repositories gegenseitig zu bewerben. Auf SourceForge wurde der Download-Zähler künstlich auf 44.000 erhöht, indem eine Farm von Android-Geräten verwendet wurde;
- YouTube. Ein Kanal mit mehr als 91.000 Abonnenten wird genutzt, um die Software zu bewerben. Die Tutorial-Videos werden mit KI-Sprachgeneratoren erstellt und sind von gefälschten positiven Kommentaren begleitet;
- Medien. Um das Tool zu legitimieren, nutzt der Hacker Presseverteilungsdienste (zum Beispiel EIN Presswire), deren Veröffentlichungen dann automatisch von Partner-Nachrichtenseiten nachgedruckt werden.
Forscher von Check Point betonten, dass die Manipulation von Crowdsourcing-Plattformen auf einen gefährlichen Wandel in den Taktiken der sozialen Manipulation hinweist. Das erfolgreich getestete Schema der plattformübergreifenden Rufaufblähung könnte in Zukunft für die massenhafte Verbreitung von Ransomware und ausgeklügelteren Infostealern verwendet werden.
Ein USB-Wurm verbreitete sich selbst über versteckte Windows-Verknüpfungen, um Kryptowährung zu stehlen.
Microsoft-Experten haben Details zu einer selbstreplizierenden Malware-Verbreitungskampagne enthüllt, die sich gegen Kryptowährungsinhaber richtet.
Der Infektionsprozess wird ausgelöst, wenn das Opfer eine modifizierte Verknüpfungsdatei (.LNK) auf einem USB-Laufwerk öffnet. Nach dem Start lädt der Wurm heimlich zusätzliche Payloads von einem Befehlsserver im .onion-Domainbereich herunter.
Die Malware scannt das lokale System nach Benutzerdokumenten. Bei Auffinden dieser versteckt das Programm die Originale und ersetzt sie durch bösartige Verknüpfungen mit identischen Namen. Infolgedessen wird die Software jedes Mal aktiviert, wenn der Benutzer versucht, seine Arbeitsdateien zu öffnen. Um sich selbst zu verbreiten, erstellt der Wurm eine geplante Aufgabe, die Ports überwacht. Sobald ein neues USB-Laufwerk in den Computer eingefügt wird, kopiert sich der Virus sofort auf das externe Medium.
Der Stealer tritt nur dann in seine aktive Phase ein, wenn der "Task-Manager" nicht auf dem System läuft. Er stellt eine Verbindung zum Befehlsserver über eine integrierte Tor-Ausführungsdatei her und überwacht alle halbe Sekunde die Zwischenablage nach sensiblen Daten:
- 12- und 24-Wort BIP39 Seed-Phrasen;
- Adressen von Bitcoin-Wallets (einschließlich Legacy, P2SH, Bech32 und Taproot), Ethereum, Tron und Monero.
Wenn eine kopierte Adresse erkannt wird, tauscht das Programm sie sofort gegen die Details des Angreifers aus. Um das Opfer zu täuschen, wählt der Algorithmus Wallets aus, deren Anfangszeichen visuell mit den ursprünglichen übereinstimmen.
Neben der Zwischenablage-Überwachung nimmt der Virus alle zehn Sekunden fünf Screenshots auf und sendet sie mit dem Curl-Dienstprogramm an die Hacker. Auf einen speziellen Serverbefehl kann die Software beliebige JavaScript-Skripte auf dem infizierten Rechner herunterladen und ausführen.
Die Aktivität dieses USB-Wurms wird seit mindestens Februar kontinuierlich aufgezeichnet. Forscher betonten, dass die offensichtlichsten Anzeichen einer Infektion verhaltensbasiert und nicht signaturbasiert sind. Die Haupt-"Alarmzeichen" für einen Kompromiss sind verdächtige Hintergrundaktivitäten der Prozesse wscript.exe und cscript.exe, unerwartete Starts von Curl, PowerShell und cmd.exe sowie unautorisierte Netzwerkverbindungen zu localhost:9050 (dem Standardport des Tor-Proxy-Servers).
Die südkoreanische Strafverfolgung hat ein Netzwerk zur Geldwäsche von Kryptowährungen, das einem kambodschanischen Syndikat diente, zerschlagen.
Die südkoreanische Strafverfolgung hat 23 Verdächtige in einem Fall der Geldwäsche für eine kambodschanische Phishing-Organisation festgenommen. Dies berichtete Newsis.
Das Schema wurde durch ein komplexes Netzwerk zur Transaktionsweiterleitung durchgeführt, das sowohl inländische südkoreanische als auch ausländische Kryptowährungsbörsen nutzte. Laut der Untersuchung hat die Gruppe von Februar 2024 bis April 2025 etwa 11,1 Millionen USDT bewegt.
Die Polizei wies auf das kolossale Ausmaß der beteiligten Infrastruktur hin: Um das Geld zu waschen, verwendeten die Angreifer etwa 11.300 verschiedene Konten. Diese Transitkonten waren direkt mit gestohlenen Geldern in Höhe von etwa 17 Millionen Dollar verbunden, die die Kriminellen infolge von 265 Vorfällen erlangten.
Während der Polizeirazzien wurden kriminelle Erträge im Wert von 650 Millionen Won (etwa 430.000 Dollar) beschlagnahmt. Gleichzeitig ist die aktive Phase der Strafverfolgungsoperation noch nicht abgeschlossen: Der verdächtige Organisator der Gruppe ist noch auf freiem Fuß. Ein Interpol "roter Hinweis" wurde bereits für ihn ausgestellt, was eine internationale Suche und Auslieferung impliziert.
Forscher entdeckten einen neuen Android-Trojaner zum Stehlen von Kryptowährung.
Sicherheitsforscher von Zimperium entdeckten einen Trojaner für Android, der darauf abzielt, Kryptowährung zu stehlen.
Laut den Analysten umfasst das Arsenal der Rokarolla-Malware 137 Remote-Befehle. Das Toolkit ermöglicht es, PIN-Codes abzufangen, SMS zu lesen und zu senden, die Zwischenablage zu manipulieren, um digitale Vermögenswerte zu stehlen, und die integrierten Schutzmechanismen des Betriebssystems zwangsweise zu deaktivieren.
Die Software wird über bösartige Websites verteilt, die sich als Installer beliebter Dienste wie TikTok und Google Chrome ausgeben.
Im ersten Schritt lädt das Opfer ein Programm herunter, das visuell die Google Play Protect-Systemkomponente nachahmt. Mit dieser Tarnung nutzt der Dropper Social Engineering, um den Benutzer zu zwingen, ihm Zugriff auf "Accessibility" zu gewähren. Nachdem die Erlaubnis erteilt wurde, setzt die Malware die Hauptlast ein und deaktiviert zunächst den echten Play Protect-Scanner.
Rokarolla lädt gefälschte HTML-Autorisierungsseiten von seinem Server für jede aktive Anwendung aus der Ziel-Liste herunter. Wenn das Opfer eine legitime Krypto-Wallet öffnet, überlagert der Trojaner sie sofort mit einem gefälschten Fenster und fängt alle eingegebenen Details ab.
Darüber hinaus ahmt eine separate Überlagerung genau den standardmäßigen Android-Sperrbildschirm nach. Dies ermöglicht es der Software, einen PIN-Code, ein Passwort oder einen Muster-Schlüssel zu stehlen, wodurch die Betreiber die Kontrolle über das Smartphone selbst im gesperrten Zustand erhalten. Um Kryptowährung zu stehlen, verwendet der Trojaner einen eingebauten Clipper: Er überwacht heimlich die Zwischenablage und tauscht kopierte Wallet-Adressen gegen die Details der Angreifer aus, wodurch Transaktionen umgeleitet werden.
Um die Zwei-Faktor-Authentifizierung zu überwinden, liest Rokarolla alle SMS auf dem Gerät und kann selbst Nachrichten senden, indem es einmalige Bankcodes abfängt. Darüber hinaus kann der Trojaner, indem er sich als Standardanwendung für Anrufe und SMS festlegt, eingehende Anrufe blockieren — sodass ein Warnanruf vom Anti-Betrugs-System der Bank einfach nicht den Besitzer erreicht.
Experten betonten, dass der wichtigste Schutz gegen solche Bedrohungen erhöhte Wachsamkeit beim Gewähren von "Zugriffs"-Berechtigungen ist, da gerade diese die gesamte Angriffs-Kette auslösen.
Organisatoren von Krypto-Betrügereien setzten Kuriere ein, um Bargeld zu sammeln.
Angreifer haben begonnen, Kuriere einzustellen, um Gelder von Opfern zu sammeln, deren Transaktionen von Bankensicherheitssystemen blockiert werden. Das FBI berichtete über diese neue Taktik der Betreiber von Kryptowährungs-"Pig Butchering"-Schemen.
In der Regel beginnen solche Betrügereien damit, dass Betrüger potenzielle Opfer über soziale Netzwerke, Dating-Seiten und Messenger kontaktieren, ihr Vertrauen gewinnen und sie dann in gefälschte Investitionsschemata locken.
Nachdem sie das Opfer überzeugt haben, Bargeld abzuheben (zum Beispiel unter dem Vorwand einer vorübergehenden "Sperrung" des Kontos), senden die Betrüger einen Kurier zu der Person, die ihnen vertraut hat. Ein vorher vereinbartes Passwort oder die Seriennummer eines bestimmten Dollarscheins wird zur Identifizierung verwendet. Nachdem sie das Geld erhalten haben, simulieren die Hacker eine Erhöhung des Guthabens im virtuellen Wallet des Opfers und beginnen den Zyklus von Neuem, indem sie neue Beiträge verlangen, um fiktive "Steuern" auf die Abhebung von Geldern zu zahlen.
Laut FBI-Daten für 2025 bleibt Krypto- und Investitionsbetrug die "verheerendste Form" von Cyberkriminalität in den USA: Er machte 49 % aller Vorfälle aus, mit einem Gesamtschaden von 8,6 Milliarden Dollar.
Eine Schwachstelle in drahtlosen Ohrhörern ermöglichte es Hackern, iPhone-Nutzer abzuhören.
Apple hat ein Firmware-Update für die Beats Studio Buds kabellosen Ohrhörer veröffentlicht, das eine hochgradige Sicherheitsanfälligkeit schließt.
Der Fehler, der von Experten von SentinelOne bereits im Januar gemeldet wurde, ermöglichte es Angreifern, sich heimlich mit dem Gerät zu verbinden und das integrierte Mikrofon zum Ausspionieren zu nutzen.
Das Problem, das die Kennung CVE-2025-20701 erhielt, steht im Zusammenhang mit falscher Autorisierung im Bluetooth-Audio-SDK des Chipentwicklers Airoha. Der Defekt ermöglicht es einem Hacker im Bluetooth-Bereich, sein eigenes Gerät ohne Wissen oder Zustimmung des Benutzers mit den Ohrhörern zu verbinden – vorausgesetzt, das Headset ist noch nicht gekoppelt und sucht aktiv nach Verbindungen. Die Sicherheitsanfälligkeit wurde erfolgreich im Beats-Firmware-Update der Version 1B211 behoben.
Laut den Spezialisten kann der Exploit über Standard-Bluetooth oder das Low-Energy-Protokoll (BLE) ohne Authentifizierung aktiviert werden. Neben dem Abhören gibt der Angriff den Angreifern nahezu die volle Kontrolle über das Gerät: Er ermöglicht das Lesen und Überschreiben des RAM und des Flash-Speichers der Ohrhörer. Darüber hinaus können Hacker etablierte Vertrauensbeziehungen zu zuvor gekoppelten Smartphones übernehmen, was einen Vektor für die Entwicklung ausgeklügelterer mehrstufiger Angriffe eröffnet.
Auch auf ForkLog:
- Ein veralteter Vertrag im Aztec-Netzwerk wurde für 2 Millionen Dollar gehackt.
- Kentucky hat, wie andere Bundesstaaten, eine Klage gegen Polymarket eingereicht.
- Das Vereinigte Königreich wird soziale Netzwerke für Kinder unter 16 Jahren verbieten.
- Der Oberste Gerichtshof der Russischen Föderation erkannte Kryptowährung als Diebstahlobjekt an.
- Bitbank drohte mit Blockierungen für Transaktionen, die mit Polymarket verbunden sind.
Was am Wochenende lesen?
Ideen, die die Welt verändern, entstehen fast immer an der Peripherie — unter Menschen, die von ihren Zeitgenossen als Exzentriker betrachtet werden. In einem neuen Artikel hat ForkLog untersucht, warum Pioniere wie Jack Parsons oft im Schatten der Revolutionen bleiben, die sie hervorgebracht haben.
Quelle: ForkLog
