GreedyBear-Betrug verbreitete sich über Firefox-Erweiterungen und stahl 1 Mio. USD in Krypto: Koi Security
- Der kürzlich aufgedeckte GreedyBear-Betrug setzte 150 Firefox-Erweiterungen ein, um Krypto-Anmeldedaten zu stehlen.
- Die Angriffsinfrastruktur umfasst 500 bösartige ausführbare Dateien und betrügerische Websites.
- Die koordinierte Kampagne hat von Kryptowährungs-Nutzern mehr als 1 Million US-Dollar gestohlen.
Die GreedyBear-Betrugsgruppe hat über 1 Million US-Dollar an Kryptowährung durch eine koordinierte Angriffskampagne gestohlen.
Koi Security berichtete, dass die Gruppe 150 bewaffnete Firefox-Erweiterungen sowie 500 bösartige ausführbare Dateien startete. Die Operation nutzte gefälschte Wallet-Erweiterungen, Phishing-Websites und Malware, um Krypto-Nutzer auf mehreren Plattformen zu zielen.
Firefox-Erweiterungsbetrug zielt auf beliebte Krypto-Wallets
Der GreedyBear-Betrug startete über 150 bösartige Erweiterungen im Firefox-Store, die Kryptowährungsnutzer zielten. Die bösartigen Erweiterungen geben sich als beliebte Wallets wie MetaMask, TronLink, Exodus und Rabby Wallet aus. Die Erweiterungen kopieren alle legitime Wallet-Oberflächen, um Benutzeranmeldedaten zu übernehmen, wenn Benutzer versuchen, sich anzumelden.
Die Hacker produzieren zunächst echt aussehende Erweiterungen wie Link-Sanitierer und YouTube-Downloader mit begrenzter Funktionalität. Mit einer Reihe von 5-7 generischen Dienstprogrammen mit neuen Herausgeber-Namen etablieren sie typischerweise langfristige Glaubwürdigkeit.
Sobald die Kriminellen Vertrauen durch echte positive Bewertungen aufgebaut haben, leeren sie diese Erweiterungen vollständig aus. Sie ändern Namen, Symbole und injizieren schädlichen Code, behalten aber die ursprüngliche positive Bewertungshistorie bei. Diese Methode ermöglicht es schädlichen Erweiterungen, für neue Benutzer, die den Markt durchsuchen, vertrauenswürdig zu wirken.
Die Erweiterungen dienen als Instrumente, um Wallet-Anmeldedaten aus Eingabefeldern in ihren Popup-Fenstern zu erhalten. Die gestohlenen Informationen werden an Remote-Server übertragen, die von der Kriminellengruppe kontrolliert werden, um sie später zu nutzen. Erweiterungen übertragen auch die IP-Adressen der Opfer beim Start zur Nachverfolgung.
Diese Aktion ist eine Folge vorheriger Foxy Wallet-Aktivitäten, die 40 bösartige Erweiterungen identifiziert hatten. Der Umfang hat sich jetzt mehr als verdoppelt im Vergleich zum ursprünglichen Fall. Benutzerberichte bestätigen, dass Opfer erheblichen Kryptowährungswert verloren haben, indem sie diese gefälschten Wallet-Erweiterungen über verschiedene Zeiträume hinweg genutzt haben.
Plattformübergreifender Angriff kombiniert Malware und Betrugs-Websites
GreedyBear Betrug betreibt fast 500 schädliche Windows-Exe-Dateien parallel zu ihrer Browser-Erweiterungs-Kampagne. Diese Programme verbreiten sich über russische Websites, die unbedarften Nutzern geknackte und raubkopierte Software anbieten. Die Malware-Sammlung umfasst mehrere Bedrohungskategorien, um das maximale Schadenspotenzial zu entfalten.
Anmeldedaten-Stehler wie LummaStealer zielen auf Krypto-Wallet-Informationen ab, die auf den Computern der Opfer gespeichert sind. Ransomware-Varianten verschlüsseln Benutzerdateien und fordern Kryptowährungszahlungen für Entschlüsselungsschlüssel. Generische Trojaner bieten Backdoor-Zugang für zusätzliche Payload-Übertragung, wenn nötig.
Die Gruppe unterhält auch eine Infrastruktur von Nachahmer-Krypto-Dienst-Websites für Datendiebstahl. Die Betrugs-Websites sind echt aussehende Krypto-Dienste und keine typischen Phishing-Seiten. Hardware-Wallets der Marke Jupiter enthalten auch Mockups einer Oberfläche, die gefälscht sind, um potenzielle Käufer dazu zu bringen, Zahlungsdetails preiszugeben.
Ein weiteres im Bericht zitiertes Beispiel waren Wallet-Reparatur-Websites, die behaupten, beschädigte Trezor-Produkte für frustrierte Kunden zu reparieren. Die Nachahmer-Websites sammeln Wallet-Wiederherstellungswörter und private Schlüssel, während sie sich als technischer Support ausgeben. Einige Domains sind aktiv, während andere inaktiv sind und auf gezielte Angriffe in der Zukunft warten.
Die Vielfalt der Angriffsmethoden zeigt, dass der GreedyBear-Betrug eine breite Verteilungs-Pipeline betreibt, anstatt sich auf eine einzelne Technik zu konzentrieren. Dieser diversifizierte Ansatz ermöglicht es der Gruppe, Taktiken zu wechseln, basierend auf dem, was am besten funktioniert. Die Wiederverwendung von Infrastruktur über verschiedene Malware-Familien hinweg bestätigt die zentrale Koordination hinter allen Kampagnenkomponenten.
Zentralisierter Server steuert globale Diebstahloperationen
GreedyBear betreibt sein gesamtes kriminelles Unternehmen über eine einzelne IP-Adresse bei 185.208.156.66. Fast alle Domains, die über Erweiterungen, Malware-Payloads und Phishing-Seiten verwendet werden, verbinden sich mit diesem zentralen Server. Dieser Hub verarbeitet Command-and-Control-Kommunikation, Anmeldedatensammlung, Ransomware-Koordination und das Hosten von Betrugs-Websites.
Die zentralisierte Infrastruktur ermöglicht es Angreifern, Operationen über mehrere Angriffskanäle hinweg effizient zu streamlinen. Daten aus Browser-Erweiterungen, Malware-Infektionen und Website-Opfern fließen alle zum selben Sammelort. Dieser Ansatz vereinfacht das Management und bietet gleichzeitig umfassende Intelligenz über Zielopfer.
Koi Security entdeckte, dass die Gruppe bereits begonnen hat, sich über Firefox-Browser hinaus zu erweitern. Eine bösartige Chrome-Erweiterung namens Filecoin Wallet nutzte vor Monaten identische Methoden zum Erlangen von Anmeldedaten. Diese Chrome-Erweiterung kommunizierte mit Domains, die auf derselben 185.208.156.66-Server-Infrastruktur gehostet wurden.
Die Verbindung bestätigt, dass GreedyBear Operationen in verschiedenen Browser-Ökosystemen testet. Chrome, Edge und andere Browser werden in den kommenden Monaten wahrscheinlich ähnlichen Erweiterungskampagnen ausgesetzt sein. Die Bereitschaft der Gruppe, auf Plattformen zu experimentieren, zeigt ihr Engagement für die Skalierung der Operationen.
KI-Tools haben das Wachstum und die Komplexität der Kampagne laut Code-Analyse beschleunigt. Generierte Artefakte in der Malware deuten darauf hin, dass künstliche Intelligenz bei der Erstellung und Skalierung von Payloads hilft. Diese Technologie ermöglicht schnellere Entwicklungszyklen und eine bessere Umgehung von Sicherheits-Erkennungssystemen über verschiedene Plattformen hinweg.
Lesen Sie nicht nur Krypto-Nachrichten. Verstehen Sie sie. Abonnieren Sie unseren Newsletter. Es ist kostenlos.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com Wir übernehmen keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor jeglichen Anlageentscheidungen eine unabhängige Recherche durchzuführen und/oder einen qualifizierten Fachmann zu konsultieren.
Vignesh Karunanidhi
Vignesh ist ein Krypto-Inhaltsautor, Krypto-Journalist, Content-Editor und Social-Media-Manager. Er arbeitet seit über 6 Jahren mit Watcher.guru, BeInCrypto, CoinGape, Milkroad und Airdrops zusammen. Seine Fähigkeiten im Bereich Tech-, Robotik-, Business- und KI-Nachrichten wurden durch einen Master of Commerce vertieft.
