Verstärkter Malware-Versand und Online-Betrug im Zusammenhang mit dem Ukraine-Krieg

Cyberkrieg ist ein dominanter IT-Aspekt des aktuellen Konflikts. Außerhalb der direkt involvierten Staaten versenden derzeit Spam-Trittbrettfahrer ihre Mails. Je heftiger die Auseinandersetzungen in der Ukraine werden, desto höher ist die Zahl von Online-Betrug oder Malware-Versand über E-Mails.

Die Trittbrett-Kriminellen verfolgen ein perfides Ziel: Sie möchten die humanitäre Krise und die allgemeine Hilfsbereitschaft der Menschen gezielt ausnutzen. Die Bitdefender Labs beobachteten in den vergangenen Tagen mehrere Mail-Kampagnen, die sich zum Teil gegen Unternehmen richten und auch in deutschen Mailboxen landen. Populäres Beispiel für Ersteres sind Remote-Access-Trojaner in Anhängen an Produktionsunternehmen, für Letzteres ist die Ukraine-Variante der Betrugsmasche „Nigerianischer Prinz“.

Kampagne 1: Agent Tesla Remote-Access-Trojaner

Hacker greifen Unternehmen in der Produktionsbranche mit Agent Tesla an. Dabei handelt es sich um einen ein so genannten „Malware-as-a-Service-Remote-Access-Trojaner (MaaS RAT). Er stiehlt Daten und wurde von Hackern vor allem in der Pandemie für zahlreiche E-Mail-Kampagnen genutzt.

Die Spam-Mails versuchen, das bösartige Tool über einen ZIP-Anhang mit dem Namen „REQ Supplier Survey“ zu verbreiten. Laut Mail sollen die Empfänger in einer Studie Auskunft über ihre Backup-Pläne angesichts des Ukraine-Kriegs geben. Die bösartige Payload wird von einem Discord-Link aus direkt auf das System des Opfers heruntergeladen und dort implementiert. Um die Nutzer abzulenken, wird zusätzlich eine sichere Chrome-Version heruntergeladen.

Die Mails haben zu 86 Prozent eine niederländische IP-Adresse. Die Angreifer versenden sie weltweit: Am häufigsten mit 23 Prozent nach Südkorea und mit 14 Prozent nach Tschechien. Deutschland liegt zusammen mit Großbritannien auf Rang 3 mit jeweils 10 Prozent.

Kampagne 2: Remcos RAT

Die Bitdefender-Experten beobachten seit dem 2. März eine weitere Malware-Spam-Kampagne. Hier geben sich die Angreifer als ein südkoreanischer Spezialist für Analysegeräte zur In-Vitro-Diagnostik aus. Über eine Excel-Tabelle im Anhang (SUCT220002) verbreiten sie die Remcos-RAT-Malware. So können die Cyberkriminellen über infizierte Dokumente oder Archive die volle Kontrolle über die angegriffenen Systeme erlangen. Remcos RAT zeichnet Tastatureingaben, Screenshots, Zugangsdaten oder andere sensible Systeminformationen auf und exfiltriert diese auf die Server der Urheber.

Laut IP-Adresse stammen 89 Prozent der Mails aus Deutschland und 19 Prozent aus den USA. Empfängerländer sind neben Irland (32 Prozent), Indien (17 Prozent) und den USA (7 Prozent) Großbritannien, Deutschland und Vietnam mit jeweils 4 Prozent der Empfänger.

Betrügerische Spendenaufrufe

In betrügerischen Mails geben Scammer vor, der ukrainischen Regierung oder Organisationen wie Act for Peace, UNICEF und dem Ukraine Crisis Relief Fund anzugehören. Sie bitten dann unter verschiedenen Betreffzeilen um Geldspenden für die ukrainische Armee oder um Hilfe für die Zivilbevölkerung im Kriegsgebiet. 7 Prozent der Mails mit dem Betreff „Stand with the people of Ukraine. Now accepting cryptocurrency donations. Bitcoin, Ethereum and USDT“ landeten bislang bei deutschen Empfängern – 25 Prozent in Großbritannien, 14 Prozent in den USA, 10 Prozent in Südkorea, 8 Prozent in Japan, 4 Prozent in Rumänien und je 2 Prozent in Griechenland, Finnland und Italien.

Der nigerianische Prinz ist wieder da

Betrüger greifen dieses bekannte Cyber-Scam-Motiv wieder auf und verbreiten es vor allem in Deutschland: Ein Geschäftsmann aus der Ukraine bittet angeblich um Hilfe beim Transfer von zehn Millionen US-Dollar, bis er es wieder selbst sicher deponieren kann. Nimmt das Opfer Kontakt auf, fragen die Angreifer ihn vermutlich nach persönlichen Informationen, versprechen eine Belohnung und bitten um Geld – zum Beispiel für das Zahlen von Bankgebühren. Dann sehen die Opfer das Geld nicht mehr wieder.

Die IP-Adressen der Absender befinden sich zu 83 Prozent in Botswana, zu 10 Prozent in Deutschland, zu 5 Prozent in Frankreich. Die Adressaten leben vor allem in Deutschland (42 Prozent), gefolgt von der Türkei (16 Prozent), den Vereinigten Staaten von Amerika (16 Prozent), Irland (8 Prozent) sowie Polen (3 Prozent).

Angesichts dieser Welle von E-Mail-Scams, die sich hinter emotionalen Appellen verbergen, sollten Nutzer gerade jetzt die üblichen Sorgfaltsregeln im Umgang mit unerwarteten Mails befolgen.

Dazu gehören:

•     Kein Klick auf Links oder Anhänge, die um eine dringende Spende bitten
•     Spenden nur über offizielle und anerkannte Organisationen
•     Regelmäßiges Überprüfen von Bankkonten auf verdächtige Aktivitäten
•     Eigene Passworte für alle Online-Nutzerkonten

Den Blog zu den Spam-Aktivitäten gibt es hier.