Die Experten der Bitdefender Labs haben eine neue Familie von Malware zum Stehlen von Krypto Wallets identifiziert: BHUNT kann zum einem Informationen zu Kryptowährungen aus der digitalen Geldbörse eines Opfers entwenden. Damit können die Angreifer letzten Endes Kryptogeld frei und unwiderruflich auf von ihnen kontrollierte Wallets übertragen.
Zum anderen sind auch private Zugangsdaten im Visier, wie etwa Passwörter, Passphrasen oder Anmeldeinformationen aus dem Webbrowser: Sowohl für das Online-Banking als auch für den Zugriff auf Social-Media-Profile. Die Bitdefender Labs beobachten die weltweit gestreute Wallet-Stealer-Kampagne seit Oktober 2021.
„Eine Präferenz für bestimmte Nutzer und Organisationen ist nicht zu erkennen“, stellt Bogdan Botezatu, Director Threat Research and Reporting bei Bitdefender, fest. „Die Hacker greifen aber vor allem Systeme von Privatanwendern an. Hier sind nicht nur mit höherer Wahrscheinlichkeit Wallets installiert, sondern auch gecrackte Versionen von Betriebssystemen, die in unseren Augen ein Hauptgrund für die Infektionen sind. Anwender sollten Software nur aus vertrauenswürdigen Quellen verwenden und IT-Sicherheitslösungen installieren.“
Finanzieller Schaden
Mit BHUNT sind Angreifer zum einen in der Lage, Informationen zu Wallets von Atomic, Bitcoin, Electrum, Ethereum, Exodus, Jaxx und Litecoin aus der Zwischenablage zu exfiltrieren. Sie können auch Login-Daten und Passwörter aus Web-Browsern wie Firefox und Chrome sowie Passphrasen, die Anwender in die Zwischenablage kopiert haben, auslesen. All dies zum finanziellen unwiderruflichen Schaden des Opfers.
Identitätsdiebstahl
Die Cyber-Kriminellen zielen zwar in erster Linie auf den Diebstahl von Kryptogeld ab, doch auch private Zugangsdaten sind gesucht: Denn BHUNT kann auch Anmeldedaten und Cookies auslesen, die Anwender in den Web-Browsern beispielsweise für ihre Bank- und Social-Media-Konten gespeichert haben. Dies kann auch zum Identitätsdiebstahl führen.
Auch Deutschland betroffen
Bislang hat die Kampagne keinen geografischen Schwerpunkt, sofern dies aus der Bitdefender-Telemetrie ersichtlich ist: „Gerade beim Einsatz von gecrackten Betriebssystemen ist die Dunkelziffer unter Umständen hoch, weil deren Besitzer keine Antivirensoftware installiert haben oder sie ausschalten“, so Botezatu.
Weitere Erkenntnisse im Überblick:
- Das Besondere an BHUNT ist dessen Ausführungsfluss (der Pfad-Code einer Anwendung bei ihrer Ausführung), der sich von bekannten Mustern unterscheidet.
- Die Malware verwendet VMProtect und Themida als Packer. Diese wiederum nutzen eine virtuelle Software-Maschine, um Code-Teile auf einer virtuellen CPU zu emulieren, die einen anderen Befehlssatz hat als herkömmliche Prozessoren – was ein „Reverse Engineering“ extrem erschwert.
- Zum Einsatz kommen verschlüsselte Konfigurationsskripte, die von öffentlichen Pastebin-Seiten heruntergeladen werden.
- Die vorliegenden BHUNT-Samples scheinen mit einem digitalen Zertifikat signiert zu sein. Dieses Zertifikat wurde auf ein Software-Unternehmen ausgestellt, stimmt jedoch nicht mit den Binärdateien überein.
- Die für die Exfiltration verantwortlichen Server nutzen Hopto.org, einen dynamischen DNS-Dienst, der einen Domain-Namen auf wechselnde IP-Adressen verweisen und so IP-Adressen maskieren kann.
Krypto Wallets als attraktives Ziel für Kriminelle
Seit dem Bitcoin-Boom sind die neuen digitalen Währungen kontinuierlich im Wert gestiegen. Das wiederum hat nicht nur zu weiteren Investitionen geführt, sondern auch immer mehr Cyber-Kriminelle angelockt.
So genannte Stealer-Malware ist darauf spezialisiert, Zugang zu Krypto-Geldbörsen zu verschaffen. Sobald die Angreifer Zugriff auf die Informationen zu den Wallets haben, können sie ungehindert und unwiderruflich Gelder auf ihre eigenen Wallets transferieren.
IT-Sicherheitsforscher haben im vergangenen Jahr einen Anstieg solcher Wallet Stealer wie beispielsweise Redline Stealer und WeSteal festgestellt. Die Bitdefender-Forscher beobachten diesen Trend kontinuierlich.