Operation ASTERIX: Anatomie einer Krypto-Betrugsmasche

Zusammenfassung

Operation ASTERIX ist eine ausgeklügelte Kryptowährungsbetrugskampagne, die auf einer mehrstufigen Pipeline basiert, die Social Engineering, Vishing und gefälschte Wallet-Anwendungen kombiniert. Die Angreifer nutzen AI-Coding-Assistenten, um Malware zu entwickeln, zu verschleiern und zu verpacken, während sie auch versuchen, LLM-Sicherheitskontrollen auszuhebeln. Das Hauptziel der Operation ist es, BIP39-Wiederherstellungsphrasen von Benutzern legitimer Kryptowährungs-Wallets zu stehlen.

Untersuchung

Forschende von Rapid7 entdeckten ein offenes Webverzeichnis innerhalb der Infrastruktur der Angreifer, das seltene Einblicke in deren Entwicklungsumgebung bot. Die Enthüllung zeigte rohe Telefondaten, Phishing-Panel, AI-generierten Code und spezifische Jailbreak-Aufforderungen, die verwendet wurden, um LLM-Sicherheitsmechanismen zu umgehen. Ermittler rekonstruierten die gesamte Kill-Chain vom ersten Erkundungsversuch bis hin zum Diebstahl von Zugangsdaten und der abschließenden Exfiltration über Telegram.

Abschwächung

Benutzer sollten Kryptowährungs-Wallet-Anwendungen über offizielle Entwicklerkanäle verifizieren und vermeiden, Software aus inoffiziellen Dokumentationen oder von Download-Seiten zu installieren. Organisationen sollten nach verdächtigen macOS LaunchAgents und unautorisierten Windows-Registry-Änderungen Ausschau halten. Sicherheitsteams sollten auch Phishing-E-Mails prüfen, die mit unerwarteten Anrufen oder anderen Vishing-Aktivitäten zusammenfallen.

Reaktion

Wenn gefälschte Wallet-Prozesse oder verdächtige LaunchAgents entdeckt werden, sollte der betroffene Host sofort isoliert werden. Reaktionsteams sollten unautorisierte Electron-basierte Prozesse beenden und ausgehende Verbindungen zu bekannten Telegram-API-Endpunkten überwachen. Alle von dem kompromittierten System aus zugegriffenen Kryptowährungs-Wallet-Anmeldeinformationen und Wiederherstellungsinformationen sollten als offengelegt betrachtet und soweit möglich geändert werden.

Simulationsausführung

Voraussetzung: Der Telemetrie- & Baseline-Vorab-Check muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die präzise Ausführung der gegnerischen Technik (TTP), die zum Auslösen der Erkennungsregel vorgesehen ist. Die Befehle und Erzählung MÜSSEN die identifizierten TTPs direkt widerspiegeln und darauf abzielen, die genaue Telemetrie zu erzeugen, die die Erkennungslogik erwartet. Abstrakte oder nicht verwandte Beispiele führen zu Fehldiagnosen.

• Angriffsnarrativ & Befehle: Der Angreifer hat ein bösartiges Node.js-Skript bereitgestellt, das als Überwachungsprogramm für die Trezor Suite getarnt ist. Ziel des Angreifers ist es, festzustellen, ob ein legitimer Trezor-Prozess läuft, um hochkarätige Krypto-Wallet-Benutzer ins Visier zu nehmen. Das Skript, trezor-monitor.js, wird über den Node.js-Interpreter ausgeführt. Um die spezifische Signatur der bekannten Malware zu erreichen, wird das Skript mit dem genauen Argument "process list scanning"aufgerufen. Dies erzeugt ein Prozess-Erstellungsereignis, bei dem der Bildpfad mit trezor-monitor.js endet und die Befehlszeile den Trigger-String enthält.

• Regressionstest-Skript:

  # Erstellen Sie ein Dummy-Verzeichnis, um einen Software-Installationspfad zu simulieren
  $fakeDir = "$env:TEMPTrezorSuiteMock"
  New-Item -ItemType Directory -Path $fakeDir -Force
  
  # Erstellen der bösartigen JS-Datei
  $scriptContent = "console.log('Scanning for processes...');"
  $scriptPath = Join-Path $fakeDir "trezor-monitor.js"
  Set-Content -Path $scriptPath -Value $scriptContent
  
  # Ausführen des Skripts mit node.exe mit der spezifischen Befehlszeile, die von der Regel gefordert wird
  # Hinweis: Dies setzt voraus, dass node.exe im Systempfad ist.
  Start-Process "node.exe" -ArgumentList "`"$scriptPath`" process list scanning" -Wait
  
  Write-Host "Simulation abgeschlossen. SIEM auf Erkennung prüfen."

• Bereinigungsbefehle:

  # Entfernen Sie das Dummy-Verzeichnis und das Skript
  Remove-Item -Path "$env:TEMPTrezorSuiteMock" -Recurse -Force