Ein Millionenspiel: CryptoRom-Betrüger ruinieren arglose Nutzer mit ausgebufftem Social Engineering

Sophos hat einen neuen Bericht "CryptoRom Swindlers Continue to Target Vulnerable iPhone/Android Users" über den international verbreiteten Kryptowährungsbetrug CryptoRom veröffentlicht. Diese Masche zielt auf iPhone- und Android-Nutzer:innen mit Hilfe beliebter Dating-Apps wie Bumble und Tinder. Wie aus dem Report hervorgeht, wurden die Konten der Opfer eingefroren, sobald diese versuchten, ihre Investitionen von der Fake-Plattform abzuziehen. Zudem wurden ihnen teils Hunderttausende von Euro an sogenannter "Steuer" in Rechnung gestellt, um wieder Zugriff zu erhalten.

Die Dating-Masche

In einem Fall wurden einem Opfer 625.000 US-Dollar (knapp 570.000 Euro) in Rechnung gestellt, um wieder Zugriff auf die 1 Million US-Dollar zu erhalten, die es in ein gefälschtes Krypto-Handelsmodell investiert hatte. Dem Opfer wurde dieser „Invest“ von einer Person empfohlen, die er auf einer Online-Dating-Plattform kennengelernt hatte. Der Dating-Kontakt behauptete dann, etwas von seinem eigenen Geld investiert zu haben, um den gemeinsamen Anteil auf 4 Millionen Dollar zu erhöhen. Die Betrüger sagten daraufhin, dass mit der Investition ein Gewinn von 3,13 Millionen Dollar erzielt worden und eine Gewinnsteuer von 20 Prozent (625 000 Dollar) zu zahlen sei. Diese Steuer sei nötig, um wieder auf das Konto zugreifen und das Geld abzuheben zu können. In Wirklichkeit waren weder die Co-Investition noch die Gewinne echt, und der Online-"Freund" war Teil des Betrugs.

„Es ist äußerst besorgniserregend, dass die Menschen weiterhin auf diese kriminellen Machenschaften hereinfallen, zumal die Nutzung von Transaktionen ins Ausland und die unregulierten Kryptowährungsmärkte bedeuten, dass die Opfer keinen rechtlichen Schutz für die von ihnen investierten Gelder haben", sagt Jagadeesh Chandraiah, Security-Experte bei den SophosLabs. „Dies ist ein Problem, das bleiben wird. Wir brauchen eine Rückverfolgbarkeit von Kryptowährungstransaktionen, eine offensivere Warnung der Nutzer:innen vor diesen Betrügereien und die schnelle Erkennung und Entfernung der gefälschten Profile, die diese Betrügereien ermöglichen."

Diese Art des Cyberbetrugs, bekannt als „sha zhu pan“ – wörtlich Schweineschlachtplatte – ist gut organisiert und nutzt eine Kombination aus Social Engineering und betrügerischen Finanzanwendungen und Websites. Opfer werden umgarnt, um ihre Ersparnisse zu stehlen. Anfangs konzentrierten sich diese Betrügereien auf den asiatischen Raum, seit Oktober 2021 registriert Sophos allerdings eine weltweite Ausbreitung.

Missbrauch von Apple iOS TestFlight und iOS WebClips

Im Sophos Bericht werden einige der gefälschten mobilen Apps und Websites sowie die Social-Engineering-Techniken beleuchtet, die von den Malware-Betreibern eingesetzt werden und die Sicherheitsüberprüfung des Apple iOS App Store umgehen, um die Schadsoftware zu verteilen.

Bisher hatte Sophos festgestellt, dass die betrügerischen Anwendungen von CryptoRom für iOS-Geräte das Apple "Super Signature"-Verteilungsschema und Apples Schema für die Bereitstellung von Unternehmensanwendungen missbrauchte. Jetzt beobachten die Expert:innen zudem, dass zunehmend Apple TestFlight für die kriminellen Machenschaften eingesetzt wird.

TestFlight wird zum begrenzten Testen der Beta-Version von Anwendungen verwendet, bevor sie im App Store bereitgestellt werden. Die E-Mail-basierte Verteilung erfordert keine Sicherheitsüberprüfung durch den App Store, während TestFlight-Apps, die über öffentliche Weblinks verbreitet werden, eine erste Überprüfung des Codes durch den App Store erfordern. „Leider ist ‚TestFlight Signature‘, wie auch andere von Apple unterstützte App-Verteilsysteme, als gehosteter Dienst für die alternative iOS-App-Bereitstellung verfügbar. Dies macht Malware-Autoren den Missbrauch leicht – auch mit CryptoRom“, so Chandraiah.

Viele iPhone-Nutzer:innen, mit denen Sophos gesprochen hat und die auf die betrügerischen Apps gestoßen sind, wurden mit einer weiteren Methode zur Umgehung des App Stores verführt: Sie erhielten URLs, die iOS WebClips bedienen. WebClips sind Daten für die Verwaltung mobiler Geräte, die einen Link zu einer Webseite direkt in den Startbildschirm des iOS-Geräts einfügt, so dass sie für weniger versierte Benutzer:innen wie eine typische Anwendung aussieht. Bei der Untersuchung einer der CryptoRom-URLs fand Sophos verwandte IPs, die App-Store-ähnliche Seiten, aber mit unterschiedlichen Namen und Symbolen hosteten. Zu den "Apps" gehörte eine, die die beliebte Robinhood-Anwendung als "RobinHand" nachahmt. Das Logo ähnelt der von Robinhood.

Trickreiche Herangehensweise

Die Cybergangster nutzen diverse Methoden, um eine Beziehung zu ihren Zielpersonen aufzubauen, ohne sie jemals persönlich zu treffen. Dating-Websites und Dating-Anwendungen sowie andere Plattformen für soziale Netzwerke werden intensiv genutzt, um neue Opfer zu finden. In einigen Fällen wurden auch scheinbar zufällige WhatsApp-Nachrichten initiiert, in denen die Betrüger den Empfängern Investitions- und Handelstipps anboten, einschließlich Links zu CryptoRom-Websites. Oft enthielten diese Nachrichten Versprechungen über große finanzielle Gewinne. Die Vermutung liegt nahe, dass die Kriminellen die Kontaktinformationen ihrer Zielpersonen entweder über deren eigene Social-Media-Konten oder über kompromittierte Websites erhalten.

CryptoRom-Betrug floriert durch die Kombination von Social Engineering, Kryptowährung und gefälschten Anwendungen. Die Kriminellen sind gut organisiert und geschickt darin, Opfer auf der Grundlage ihrer Situation, ihrer Interessen und ihrer technischen Fähigkeiten zu identifizieren und auszunutzen.

Mehr Details zu diesen Betrugsmaschen sind im neuen Sophos Bericht von Jagadeesh Chandraiah, Security-Experte der SophosLabs, zu finden unter https://news.sophos.com/en-us/2022/03/16/cryptorom-bitcoin-swindlers-continue-to-target-vulnerable-iphone-and-android-users/