Social-Engineering-Kampagne zielt auf Krypto-Nutzer über gefälschte Startups ab, sagt Bericht

Forschungsergebnisse von Darktrace enthüllen eine anhaltende Social-Engineering-Kampagne, die Krypto-Nutzer über gefälschte Startup-Unternehmen angreift. Betrüger geben sich als KI-, Gaming- und Web3-Firmen aus und verwenden gefälschte Social-Media-Konten.

Projekt-Dokumentationen werden auf legitimen Plattformen wie Notion und GitHub gehostet. Die Kampagne ändert sich seit Dezember 2024 und zielt weltweit auf Web3-Mitarbeiter ab.

Gefälschte Unternehmen nutzen legitime Plattformen, um eine glaubwürdige Präsenz aufzubauen

Bedrohungsakteure erstellen gefälschte Startup-Unternehmen mit Themen aus den Bereichen KI, Gaming und Videokonferenzsoftware. Fassaden von Web3- und Social-Media-Unternehmen helfen dabei, speziell Kryptowährungs-Nutzer zu targeten. Diese Operationen nutzen kompromittierte X-Konten, die typischerweise verifiziert sind, um Opfer zu kontaktieren.

Die Angreifer nutzen legitime Plattformen wie Notion, Medium und GitHub für Dokumentationen. Professionell aussehende Websites enthalten Mitarbeiterprofile, Produktblogs, Whitepapers und Entwicklungs-Roadmaps. X-Konten scheinen kompromittiert zu sein, wobei höhere Follower-Zahlen zur Scheinlegitimität beitragen.

Die Betrüger sind weiterhin in sozialen Medien aktiv und veröffentlichen Updates zur Softwareentwicklung. Produktmarketing-Inhalte werden regelmäßig geteilt, während Kampagnen plattformübergreifend laufen. Das Blockchain-Spiel Eternal Decay erstellte gefälschte Fotos von Konferenzpräsentationen, um Glaubwürdigkeit zu erzeugen.

Die Angreifer haben sogar Fotos einer italienischen Ausstellung verändert, um sie als Unternehmenspräsentationen aussehen zu lassen. Medium hostet Blogbeiträge über gefälschte Softwareprodukte und Unternehmensentwicklungen. Notion enthält detaillierte Produkt-Roadmaps und umfassende Informationen zu Mitarbeiterlisten.

GitHub-Repositories zeigen technische Softwareaspekte unter Verwendung gestohlener Open-Source-Projekte. Codenamen werden geändert, um Repositories einzigartig und original erscheinen zu lassen. Unternehmensregistrierungsinformationen von Companies House werden mit ähnlich benannten Unternehmen verknüpft.

Gitbook enthält Unternehmensinformationen und listet gefälschte Investorenpartnerschaften zur Glaubwürdigkeit auf. Gameplay-Bilder, die aus Zombie Within Spiel gestohlen wurden, erscheinen als Eternal Decay-Inhalte. Einige gefälschte Unternehmen richten Merchandise-Shops ein, um ihre Geschäftsfasaden zu vervollständigen.

Diese kombinierten Elemente schaffen überzeugende Auftritte von Startup-Unternehmen und erhöhen die Erfolgsraten von Infektionen. Opfer erhalten Kontakt über X-Nachrichten, Telegram oder Discord von Mitarbeitern. Gefälschte Mitarbeiter bieten Kryptowährungszahlungen für die Teilnahme an Softwaretests an.

Malware zielt auf Krypto-Wallet-Nutzer unter Windows und macOS ab

Windows-Versionen werden über Electron-Apps verteilt, die Registrierungscode von nachgeahmten Mitarbeitern verlangen. Bins werden von Nutzern heruntergeladen, nachdem Codes eingegeben wurden, die über Social-Messaging bereitgestellt wurden. CloudFlare-Verifizierungsbildschirme werden vor der Malware-Ausführung auf Ziel-Systemen angezeigt.

Die Malware sammelt Systemprofile in Benutzername, CPU-Details, RAM und Grafik. MAC-Adressen und System-UUIDs werden in vorläufigen Aufklärungsphasen gesammelt. Token-basierte Authentifizierungsmechanismen verwenden Token, die aus Anwendungsstarter-URLs abgeleitet werden.

Gestohlene Code-Signing-Zertifikate erhöhen die Softwarelegitimität und umgehen die Sicherheitsdetektion. Zertifikate von Unternehmen wie Jiangyin Fengyuan Electronics Co. und Paperbucketmdb ApS wurden verwendet. Python wird abgerufen und in temporären Verzeichnissen für die Befehlsausführung gespeichert.

macOS-Verteilungen werden als DMG-Dateien veröffentlicht, die Bash-Skripte und Binärdateien enthalten. Skripte verwenden Verschleierungstechniken wie Base64-Codierung und XOR-Verschlüsselung. AppleScript mountet Malware und führt ausführbare Dateien automatisch aus temporären Verzeichnissen aus.

Die macOS-Malware führt Anti-Analyse-Checks für QEMU, VMWare und Docker-Umgebungen durch. Atomic Stealer zielt auf Browserdaten, Krypto-Wallets, Cookies und Dokumentdateien ab. Gestohlene Daten werden komprimiert und per POST-Anfragen an Server gesendet.

Zusätzliche Bash-Skripte etablieren Persistenz durch Launch-Agent-Konfigurationen beim Anmelden. Die Malware protokolliert kontinuierlich die Nutzung aktiver Anwendungen und Fensterinformationen. Benutzerinteraktions-Zeitstempel werden aufgezeichnet und periodisch an Sammelserver übertragen.

Beide Versionen zielen speziell auf Krypto-Wallet-Daten für Diebstahloperationen ab. Mehrere gefälschte Unternehmen verteilen identische Malware mit unterschiedlicher Markenführung und Themen.

Umfangreiche Liste gefälschter Unternehmen, die auf mehreren Plattformen identifiziert wurden

Darktrace enthüllte mehrere falsche Unternehmen, die an dieser Social-Engineering-Kampagne beteiligt sind. Pollens AI gibt sich als kollaboratives Erstellungstool aus und nutzt X-Konten und andere Websites. Buzzu verwendet dieselben Logos und denselben Code wie Pollens, läuft jedoch unter einer anderen Markenführung.

Cloudsign wird dafür berichtet, Dokumentensignatur-Plattformdienste für Geschäftskunden bereitzustellen. Swox ist ein Web3-Soziales Netzwerk der nächsten Generation. KlastAI ist eng mit Pollens-Konten und -Sites verbunden, die dieselbe Markenführung tragen.

Wasper verwendet dieselben Logos und GitHub-Code wie Pollens in verschiedenen Bereichen. Lunelior operiert über verschiedene Websites, die spezifische Nutzergruppen bedienen. BeeSync operierte zuvor als Buzzu-Alias, bevor es im Januar 2025 umbenannt wurde.

Slax hostet Social-Media- und KI-zentrierte Sites auf mehreren Websites. Solune erreicht Nutzer über Social-Media-Plattformaktivitäten und die Nutzung von Messaging-Apps. Eternal Decay ist ein Blockchain-Gaming-Unternehmen mit synthetischen Konferenzpräsentationen.

Dexis ist gleich wie Swox markiert und teilte dieselbe Nutzerbasis. NexVoo hat mehrere Domains und Social-Media-Plattform-Management. NexLoop wurde zu NexoraCore umbenannt, indem GitHub-Repositories umbenannt wurden.

YondaAI zielt auf Nutzer von Social-Media-Sites und verschiedenen Website-Domains ab. Jedes Unternehmen hat professionelle Fronten durch echte Plattform-Integrationsverfahren. Die CrazyEvil-Vertriebsgruppe betreibt solche Kampagnen seit 2021.

Recorded Future schätzt, dass CrazyEvil Millionen an Einnahmen aus bösartigen Aktivitäten generiert. Die Gruppe steht angeblich hinter Angriffen auf Krypto-Nutzer, Influencer und DeFi-Profis. Die Kampagnen zeigen umfangreiche Bemühungen, legitime Geschäftsauftritte zu erzeugen.