Ethereums Zak zielt auf eine ausgefeilte „Podcast-Software“-Betrugsmasche ab

Ethereum-Core-Entwickler Zak Cole wurde kürzlich in einem Phishing-Schema ins Visier genommen, bei dem der Angreifer einen Link als Einladung getarnt hatte, in einem Podcast aufzutreten. Laut Zak beruhte der Versuch auf gefälschten Domains und einem bösartigen Installer, um Krypto-Anmeldeinformationen und Daten von seinem Computer zu stehlen. 

Cole schrieb am späten Montag einen 21-Post-X-Thread, beginnend damit, wie der Betrug mit einer Direktnachricht auf X begann, die ihn einlud: „Join our podcast!“

2/21

Alles begann mit einer Twitter-DM zu „Join our podcast!“

Der Angreifer (@0xMauriceWang) gab sich als jemand von @theempirepodaus. Nach einem kurzen Überfliegen sah es legitim aus, also stimmte ich zu. Dann kam eine E-Mail von [email protected] mit einem @StreamYard-Link. Der Text sagte… pic.twitter.com/fEvazOVFs5

— zak.eth (@0xzak) September 15, 2025

Der Absender, der den Handle @0xMauriceWang auf der Social-Plattform nutzte, gab sich als Vertreter von Blockworks Empire Podcast aus und folgte mit einer E-Mail von dem, was Zak wie „eine legitime Podcast-Domain“ aussehen ließ.

Phisher versuchte, Zak bei der Installation einer bösartigen App zu „helfen“

Laut dem Ether-Core-Entwickler enthielt die E-Mail einen Link, der als streamyard.com angezeigt wurde, aber tatsächlich auf streamyard.org hyperverlinkt war. Als Cole klickte, zeigte die Seite eine „Fehler beim Beitritt“-Meldung an und wies ihn an, eine Desktop-Anwendung herunterzuladen, um fortzufahren.

In den Screenshots, die Cole in seinem X-Thread teilte, lehnte er die Installation zunächst ab, wegen der Sicherheitsrichtlinien seines Unternehmens, aber der Angreifer bettelte ihn an, es „nur dieses eine Mal“ hinzuzufügen, und schickte sogar ein Video-Tutorial, um zu demonstrieren, wie die angebliche App installiert wird. 

„Kumpel, es ist StreamYard, sie haben über 3 Millionen Nutzer. Ich habe auch einen Firmenlaptop, aber alles ist gut. Die Browser-Version funktioniert kaum, vielleicht 1 von 20 Versuchen verbindet sich tatsächlich. Ich bin mir ziemlich sicher, dass sie es als Marketing halten, aber in der Praxis endet jeder damit, die Desktop-App zu nutzen. Viel stabiler…“ lautete die Nachricht.

Das war, als Cole „überall rote Fahnen“ sah und das Paket auf einer kontrollierten Labormaschine statt auf seinem Arbeitscomputer herunterlud. 

In der DMG-Datei fand er einen versteckten Mach-O-Binary namens „.Streamyard“, einen Bash-Loader und ein gefälschtes Terminal-Symbol, das Benutzer dazu bringen sollte, es zu ziehen, um Systemzugriff zu erlangen.

Er beschrieb den Loader als „russische Puppen aus Bullshit“ und erklärte, wie er Base64-Fragmente konkatenierte, sie mit einem Schlüssel entschlüsselte, das Ergebnis neu codierte und ausführte. Jeder Schritt war darauf ausgelegt, Antiviren-Erkennung zu umgehen.

„Offline dekodiert, war Stage2 AppleScript, das das gemountete Volumen finden, .Streamyard nach /tmp/.Streamyard kopieren, Quarantäne mit xattr -c entfernen, chmod +x setzen und dann ausführen. Still, chirurgisch und tödlich“, erklärte der Entwickler und notierte die Codezeile.

Cole fügte hinzu, dass, wenn ein Opfer macOS Gatekeeper deaktiviert hatte oder auf den Phishing-Terminal-Zugtrick hereingefallen war, die Malware stillschweigend alles ausgelesen hätte, einschließlich Passwörtern, Krypto-Wallets, E-Mails, Nachrichten und Fotos.

Gespräch mit dem Angreifer offenbart gemietete Malware-Dienste

Statt den Betrieb einzustellen, trat Cole nach einer Bitte um Hilfe in einen Live-Anruf mit dem Betrüger ein, der nervös wirkte und von einem Skript las, während er versuchte, ihn durch die gefälschte Installation zu führen. 

Während der Videositzung fing der Ether-Programmierer an, den Bildschirm zu teilen, und scrollte durch einen Ordner mit expliziten Kim-Jong-Un-Videos, um den Angreifer aus dem Gleichgewicht zu bringen.

Als er nach Antworten drängelte, warum es nicht funktionierte, gab der Betrüger zu, nicht Teil einer staatlich unterstützten Operation zu sein, sondern Teil einer aktiven Hacker-Community, die sich ein Phishing-Kit für etwa 3.000 US-Dollar im Monat gemietet hatte. 

Cole merkte an, dass der Angreifer umgangssprachliche Ausdrücke wie „mate“ verwendete, um Opfer dazu zu bringen, zu glauben, er befände sich im Vereinigten Königreich oder in der Nähe der USA. Der Angreifer gab auch zu, die Infrastruktur nicht direkt zu kontrollieren und die Payload-Domains nicht verwalten zu können; er nutzte einen „Budget-Cybercrime-as-a-Service“.

14/21

Der Clou war, dass sie https://t.co/3gJrz4EVIl zur Zustellung (load.*.php?call=stream-Endpunkte) und https://t.co/NqE3HGJVms (@streamyardapp) als Köder nutzten, und beide sind jetzt „burned“ (danke @_SEAL_Org). pic.twitter.com/B0zbCmxzpj

— zak.eth (@0xzak) September 15, 2025

Laut den Erkenntnissen des crowdsourced-Sicherheitsnachrichtenunternehmens VirusTotal war die genutzte Zustellinfrastruktur lefenari.com, die Payloads über skriptbasierte Endpunkte hostete, sowie streamyard.org als Köder. Beide Domains sind jetzt deaktiviert, dank der Unterstützung des Cybersicherheitsunternehmens Security Alliance.