Crypto-Romance über Twitter- und Text-Nachrichten endet im Cyberbetrug

Der Sophos-Bericht Fool’s Gold: Dissecting a Fake Gold Market Pig Butchering Scam beleuchtet die Vorgehensweise der sogenannten Pig Butchering- oder Sha-Zhu-Pan-Betrugsringe. Eine Gruppierung aus Hong Kong führt einen gefälschten Gold-Handelsplatz, eine weitere mit Sitz in Kambodscha und Verbindungen zum organisierten Verbrechen in China brachte den Betrügern in nur einem Monat 500'000 US-Dollar an Kryptowährung ein.  Die Cyberkriminellen visierten in beiden Fällen den Sophos Principal Threat Researcher Sean Gallagher direkt via Twitter und Textnachrichten an, anstatt den Erstkontakt wie sonst üblich über Dating-Apps herzustellen.

„Wir verfolgen und berichten seit zwei Jahren über eine Untergruppe von Pig-Butchering- Betrügern namens CryptoRom. Bei dieser besonderen Betrugsform ködern Cyberkriminelle Dating-App-Nutzer und verleiten sie im Verlauf einer vorgetäuschten Liebesbeziehung, vermeintliche Investitionen in Kryptowährungen zu tätigen. Aber CryptoRom ist wirklich nur die Spitze des Eisbergs. Seit Beginn der Pandemie hat diese Art des Cyberbetrugs massiv zugenommen. Die Kriminellen gehen ihre Opfer mittlerweile nicht mehr nur auf allen grossen Social-Media-Plattformen, sondern sogar über Direktnachrichten an. Zudem beschränken sie sich nicht mehr nur auf Kryptowährungen, sondern benutzen auch Geschäfte mit Gold oder anderen Währungen und Handelsgütern als Köder.“

 Für die Analyse des ersten Betrugs mit einem fiktiven Goldinvestment interagierte Gallagher drei Monate mit einem der Kriminellen nach deren direkter Kontaktaufnahme via Twitter. Der Betrüger gab sich als 40-jährige Frau aus Hong Kong aus und versuchte schnell, die Konversation zu WhatsApp zu verschieben. Von hier aus versuchte er, Gallagher zu einer Investition auf einer gefälschten Goldhandels-Plattform zu überreden und warb dafür mit „Onkel Martin“, angeblich ein früherer Analyst beim Wertpapierhandel- und Investmentbanking-Unternehmen Goldmann Sachs. Dafür lenkte der Kriminelle Gallagher direkt auf eine Webseite, die das Branding einer seriösen japanischen Bankgesellschaft namens Mebuki Financial imitierte, wo die Devisen- und Warenhandelsdienstleistungen erbracht werden sollten.

Obwohl das Social Engineering bei diesem Betrug weniger ausgefeilt war als bei anderen von Sophos untersuchten Fällen, zeigt er eine deutliche Zunahme der technischen Raffinesse. Die Kriminellen nutzten eine aufwendige Kombination sehr effektiver Suchmaschinenoptimierung, verfeinerter Betrugsseiten zur „Registrierung“ neuer Klienten auf ihrer gefälschten Mebuki-Webseite und eine raubkopierte Version einer legitimen Handels-App („MetaTrader 4“) mit zugefügtem Schadcode, um den Opfern das Geld zu entwenden. Die Kriminellen haben sogar aktiv ihre Betrugs-Infrastruktur erneuert, um nicht abgeschaltet zu werden.

 „Beide Betrüger-Ringe sind noch immer aktiv und es ist schwierig, sie zu stoppen. Während wir die Domains und IP-Adressen, die von den Angreifern aus dem Hong-Kong-Ring verwendet werden, als schadhaft markiert haben, richteten die Betrüger bereits eine neue Download-Infrastruktur für ihre raubkopierte Version der MetaTrader-App ein, so dass es für uns ein Kampf gegen Windmühlen ist“, kommentiert Gallagher den permanenten Kampf gegen die immer neuen Wege der Betrugsgruppen. „Die Organisationen sind immer breiter aufgestellt und wählen ihre Opfer regions- und plattformübergreifend aus. Der Wechsel von Krypto zu Gold zeigt ebenfalls, wie einfach diese Gruppierungen eine neue Nische finden können. Die beste Verteidigung ist, das öffentliche Bewusstsein für diese Art von Betrug zu schärfen. Bei den Anwendern sollten die Alarmglocken klingen, wenn sie SMS oder Direktnachrichten von Dating-Apps oder Social-Media-Kanälen von Unbekannten bekommen, die ein Gespräch anregen und dann lieber auf WhatsApp oder Telegram wechseln möchten. Besonders, wenn auch noch Behauptungen über Gewinne aus Kryptowährungen oder anderen Geschäften fallen.“