China-nahe Hacker plündern auch Kryptoanleger

Die chinesische Hackergruppe Jewelbug, die mit Spionage für den chinesischen Staat in Verbindung gebracht wird, ist offenbar auch in groß angelegte Cyberkriminalität verwickelt. Das Sicherheitsunternehmen Symantec bringt die Gruppe mit Angriffen in Verbindung, bei denen Geld, Krypto-Vermögen, Zugangsdaten und weitere sensible Informationen gestohlen werden.

Auffällig ist, dass Jewelbug für diese finanziell motivierten Angriffe teilweise dieselbe technische Infrastruktur nutzt wie für seine Spionageaktivitäten. Nach Einschätzung der Forscher könnte die Gruppe Teil eines größeren chinesischen Netzwerks sein, in dem auch externe Hacker und kommerzielle Akteure eingesetzt werden.

Für Kryptoanleger ist vor allem die Vorgehensweise problematisch. Die Hacker erstellen täuschend echte Kopien bekannter Krypto-Websites und versuchen, diese weit oben in den Suchergebnissen zu platzieren. Eine scheinbar normale Suchanfrage kann so auf einer Website enden, die darauf ausgelegt ist, Daten oder Krypto-Vermögen zu stehlen.

Chinesische Hacker führen Kryptoanleger auf gefälschte Websites

Jewelbug, auch unter dem Namen Earth Alux bekannt, richtet seine Spionageaktivitäten unter anderem gegen Regierungen und militärische Organisationen in Asien und im Nahen Osten. Die finanziell motivierten Angriffe treffen vor allem chinesischsprachige Internetnutzer.

Dabei ist eine wichtige Einschränkung zu beachten. Laut Symantec ist nicht belegt, dass alle beteiligten Hacker direkt für die chinesische Regierung arbeiten. Die Forscher vermuten, dass Jewelbug Teil eines größeren Netzwerks sein könnte, in dem China für digitale Spionage auch externe Dienstleister einbindet.

Die finanziellen Aktivitäten werden einem offiziell registrierten Unternehmen in der chinesischen Provinz Hunan zugerechnet. Auf dem Papier beschäftigt sich die Firma mit Suchmaschinenoptimierung, besser bekannt als SEO. Dabei werden Methoden eingesetzt, um Websites in Suchmaschinen besser auffindbar zu machen.

Jewelbug soll genau dieses Know-how nutzen, um betrügerische Websites potenziellen Opfern sichtbar zu machen. Auch künstliche Intelligenz spielt dabei eine Rolle. Die Gruppe setzt KI ein, um in großem Stil gefälschte Downloadseiten zu erstellen, die Websites bekannter Kryptoplattformen ähneln.

Die Hacker registrierten Hunderte Domainnamen, die Adressen von Binance, OKX und anderen Anbietern stark ähneln. Zudem nutzen sie mehr als 40 Systeme zur Website-Verwaltung sowie automatisierte Bots, um die gefälschten Seiten in den Suchergebnissen nach oben zu bringen.

Symantec stieß noch auf eine weitere Methode, um Opfer zu erreichen. Suchmaschinen wurden teils andere Seiten angezeigt als normalen Besuchern. Dadurch konnte in den Suchergebnissen eine unauffällige Seite erscheinen, während Nutzer nach dem Klick auf eine schädliche Website weitergeleitet wurden.

Ein Teil dieses Betrugs ließ sich laut Symantec mit hoher Sicherheit einem juristischen Mitarbeiter des Unternehmens in Hunan zuordnen. Die betreffende Person soll auf Telegram unter dem Namen „paopaodada“, also „Bubble Boss“, aktiv gewesen sein.

Das bedeutet den Forschern zufolge jedoch nicht automatisch, dass diese Person auch an der Spionage beteiligt war. Verschiedene Teile der Organisation könnten dieselbe Infrastruktur und dieselben Werkzeuge genutzt haben.

Mehr als 1 Million Malware-Installationen entdeckt

Das enorme Ausmaß der Operation zeigt eine geleakte Datenbank, die Symantec untersucht hat. Innerhalb von weniger als drei Monaten wurden darin mehr als eine Million Malware-Installationen registriert.

Malware ist schädliche Software, mit der Angreifer etwa Daten stehlen oder einen Computer aus der Ferne steuern können. Die Datenbank enthielt außerdem mehr als 580.000 gestohlene Browser-Cookies, mehrere Tausend erbeutete Zugangsdaten und über 2.300 gestohlene E-Mails.

Für Betroffene können vor allem gestohlene Cookies und Sitzungstoken gefährlich sein. Websites nutzen diese Daten unter anderem, um zu erkennen, dass ein Nutzer bereits angemeldet ist. Gelangen Hacker an diese Informationen, können sie in bestimmten Fällen auf ein Konto zugreifen, ohne das Passwort erneut eingeben zu müssen.

Auch große Unternehmen scheinen betroffen zu sein. Symantec fand Malware, die aus dem Netzwerk eines großen US-Unternehmens heraus kommunizierte, das unter anderem in Luftfahrt, Raumfahrt und Industrie tätig ist.

Jewelbug verfügt den Forschern zufolge zudem über fünf Generationen spezialisierter Malware, mit der infizierte Geräte aus der Ferne gesteuert werden können.

Ein auffälliges Beispiel ist eine bösartige Browsererweiterung für Google Chrome und Mozilla Firefox. Die Erweiterung tarnt sich unter dem Namen PDF Viewer als gewöhnlicher PDF-Reader. Nach der Installation können die Hacker unter anderem Cookies und Zugangsdaten stehlen, Downloads verfolgen und den Internetverkehr abfangen.

Jewelbug tarnt Angriffe im Microsoft-Datenverkehr

Für andere Angriffe nutzt Jewelbug eine Windows-Backdoor namens Antino. Damit können sich die Hacker verdeckten Zugang zu einem Computer verschaffen und das System anschließend aus der Ferne steuern.

Die Malware wurde unter anderem über Dateien verbreitet, die an geopolitische Ereignisse anknüpften. In einer Kampagne nutzten die Hacker etwa eine gefälschte Einladung zu einer Veranstaltung des Center for Strategic and International Studies in Washington. Andere infizierte Dateien gaben sich als Software von Adobe aus.

Nach der Installation kommuniziert Antino laut Symantec über die Microsoft Graph API. Dabei handelt es sich um eine legitime Technologie, mit der Anwendungen Verbindungen zu Microsoft-Diensten herstellen.

Genau das erschwert die Erkennung der Malware. Der schädliche Datenverkehr kann in der normalen Kommunikation mit Microsoft untergehen, sodass Sicherheitssysteme verdächtige Verbindungen weniger schnell erkennen. Antino wurde auf infizierten Systemen unter anderem im Nahen Osten und in Südasien gefunden.

Für Kryptoanleger macht vor allem die Kombination der Methoden die Operation gefährlich. Jewelbug ist nicht nur auf verdächtige Nachrichten oder Links angewiesen, die direkt an Opfer verschickt werden. Die Gruppe versucht auch, Suchmaschinen zu manipulieren, und erstellt überzeugende Kopien bekannter Krypto-Websites.

Dadurch kann ein Angriff an einer Stelle beginnen, an der viele Menschen gerade wenig Gefahr erwarten: bei einer normalen Suche nach ihrer Kryptobörse. Ein vertrauenswürdig wirkendes Suchergebnis kann am Ende zu einer Website führen, die darauf ausgelegt ist, Zugangsdaten oder Krypto-Vermögen zu stehlen.