KI-gesteuerte Krypto-Phishing-Operation zielt auf 885.000 Telefonnummern ab

Rapid7 Labs deckte die Operation ASTERIX auf, eine Kryptobetrugskette, die KI-Programmierassistenten nutzte, um gefälschte Ledger-, Trezor- und Exodus-Apps zu erstellen.

Es wurden 43.066 Telefonnummern mit tatsächlichen Kryptobörsenkonten abgeglichen. Jeder Nutzer, der seine Kryptowährungen selbst verwahrt, ist ein potenzielles Ziel. Die Operation war noch im Gange, als die Forscher sie entdeckten.

Ein falsch konfigurierter Server hat das gesamte Playbook verraten

Die Rapid7-Forscher Anna Širokova und Jan Recinsky entdeckten ein ungeschütztes Webverzeichnis in der Kampagneninfrastruktur. Darin befanden sich die Rohmaterialien für eine laufende Betrugsoperation.

Der Bericht des Duos vom 17. August enthielt detaillierte Angaben zu dem Datenschatz, der unter anderem Telefonnummern-Datensätze, Tools zur Kontovalidierung, Phishing-Panels, Sprachwahlskripte, die gefälschten Wallet-Anwendungen selbst sowie Code zum Abgreifen gestohlener Daten über Telegram umfasste.

Ein Großteil dieser Tools war zum Zeitpunkt des Leaks noch im Einsatz oder in der Entwicklung. Rapid7 gab an, während der Kampagne Kontakt zu Anbietern und Behörden, darunter auch Apples Sicherheitsteam, aufgenommen zu haben.

Die Operation ist nach Asterisk benannt, der Open-Source-Telefonieplattform, die auf dem Server wiederhergestellt wurde. Der Angreifer nutzte Asterisk, um Vishing-Anrufe (auch Voice-Phishing genannt) zu tätigen, die zeitlich mit gefälschten Support-E-Mails zusammenfielen, die die Opfer bereits erhalten hatten.

Das öffentliche Verzeichnis enthielt rund 885.000 Telefonnummern, die größte Datei umfasste 316.002 deutsche Mobilfunknummern. Kleinere Verzeichnisse enthielten unter anderem Daten aus Hongkong, Bulgarien, Großbritannien, den USA, von kanadischen Fintech-Kunden sowie Listen mit Bezug zu Ledger.

Die Betreiber überprüften die deutschen Nummern anschließend mit einem Kontoprüfer und bestätigten, dass 43.066 davon Nutzer von Kryptobörsen waren. Dies entspricht einer Trefferquote von etwa 13,6 %, also fast einem von sieben.

Weitere 5.576 Nummern wurden Binance -Konten zugeordnet und für einen Angriff vorgesehen. Der Bericht erwähnte außerdem einen Kraken-Checker und gefälschte E-Mails, die vorgaben, von Crypto.com zu stammen.

Die Anzahl der validierten Ziele steht in keinem Zusammenhang mit den Aktivitätsprotokollen. Aus den wiederhergestellten Protokollen geht hervor, dass es innerhalb eines Zeitraums von etwa zwei Wochen lediglich 20 Lead-Lookups gab.

Darüber hinaus wurden sechs Phishing-E-Mails versendet, was darauf schließen lässt, dass die Betreiber eher einen langsamen, gezielten Ansatz bevorzugten, anstatt alle Nummern zu kontaktieren.

Die gefälschten Apps fragten nach einer Seed-Phrase

Die Apps imitieren Trezor Suite und Ledger Live, wobei auch Exodus gefälscht wird, und fordern die Benutzer auf, eine Wiederherstellungsphrase von 12 bis 24 Wörtern einzugeben, die eine Hardware-Wallet steuert.

Diese Phrase ist der Generalschlüssel zu den Geldern, und wer sie besitzt, kann das gesamte Guthaben leeren. Die gestohlenen Phrasen wurden anschließend über Telegram abgegriffen.

Rapid7 stellte fest , dass KI-Codierungsassistenten im gesamten Entwicklungsprozess eingesetzt wurden und nicht nur dazu dienten, isolierte Code-Schnipsel auszugeben.

Die wiederhergestellten Eingabeaufforderungen, der Shell-Verlauf und die Projektdateien zeigen, dass der Betreiber auf KI-Tools zurückgriff, um dietron -Apps zu verpacken, den Code zu verschleiern, Builds zu reparieren und die Malware für die Verbreitung vorzubereiten.

Das Tool war GitHub Copilot. Als ein Modell begann, Teile der Arbeit zu verweigern, wechselte der Betreiber den Anbieter und versuchte, die Sicherheitsvorkehrungen des nächsten Modells mit einer benutzerdefinierten Jailbreak-Aufforderung zu umgehen, so Rapid7.

Anfang August warnte 13.689 Kunden, nachdem es bei einem Datenleck beim Versandpartner ShipMonk zu einer Offenlegung von Namen, E-Mail-Adressen, Telefonnummern und Adressen gekommen war, wie Cryptopolitan berichtete.

Wie und Trezor-Geräten Briefe mit QR-Codes erhalten, die zu Phishing-Websites führten Cryptopolitan bereits im Februar berichtete, haben auch Besitzer von Ledger-

Hacken, ein Unternehmen für Blockchain-Sicherheit, gab an, dass Phishing und Social Engineering 306 Millionen Dollar der 482 Millionen Dollar Verluste der Kryptoindustrie im ersten Quartal ausmachten.