CryptoRom: Unbefugter Zugang zu App-Stores

Finanzbetrug auf Dating-Apps CryptoRom: Unbefugter Zugang zu App-Stores

14.02.2023 Von Barbara Miletic Lesedauer: 3 min |

Anbieter zum Thema

Da wird Liebe versprochen – die am Ende teuer ist. Betrügerische „CryptoRom“-Apps schleichen sich in die App-Stores von Apple und Google. Sophos veröffentlicht neue Erkenntnisse zur Betrugsmasche, auch bekannt als „Pig Butchering“.

Cyberkriminelle umgehen die Sicherheits-Checks von App-Store-Betreibern mithilfe von sich ändernden Remote-Inhalten. Anschließend sind sie im offiziellen Apple App Store und Google Play Store gelistet und öffnen Cyberkriminellen Tür und Tor für Betrügereien.
(Bild: Missleestocker - stock.adobe.com)

Bei der Betrugsmasche CryptoRom handelt es sich Finanzbetrüger, die Nutzer von Dating-Apps ködern und sie während einer vorgetäuschten, sich anbahnenden Liaison zu vermeintlichen Investitionen überreden. Das Geld fließt dabei direkt in die Tasche des Betrügers.

Die Kriminellen setzen hierbei auf eine professionell organisierte Betrugsoperation, die eine Kombination aus romantischem Social Engineering und betrügerischen Krypto-Handelsanwendungen nutzt. Nach aufgebauter Vertrauensbasis werden die Opfer auf überzeugenden Fake-Handelsplattformen um Erspartes gebracht. Sophos X-Ops verfolgt und berichtet über diese Art von Betrug und geht von einem Schaden in Millionenhöhe aus.

Bislang funktionierte die Masche so, dass Opfer davon überzeugt wurden, iPhone-Apps herunterzuladen, die vom Apple App Store vorher nicht geprüft waren. Nun haben es die Macher von CryptoRom-Apps geschafft, ihre Programme in den offiziellen App Store zu platzieren. Im Google Play Store sind bereits vorher Apps dieser Art gesichtet worden. Sophos veröffentlicht neue Erkenntnisse bezüglich der „Pig Butchering“-Methode in dem Bericht „Fraudulent Trading Apps Sneak into Apple and Google App Stores“.

CryptoRom erhöht Social-Engineering-Risiko

Apps wie „Ace Pro“ und „MBM_BitScan“ (im Play Store unter „BitScan“ zu finden) haben es geschafft, Sicherheitsprotokolle zu umgehen. Die betrügerischen Apps wurden nach Aufdeckung umgehend aus den App Stores entfernt.

„Während wir Fake-Apps im Play Store bereits aus der Vergangenheit kennen, ist es nun das erste Mal, dass wir solche Anwendungen im Apple App Store gefunden haben. Im Allgemeinen ist es schwierig, Malware durch den Sicherheitsüberprüfungsprozess im Apple App Store zu bringen“, so Jagadeesh Chandraiah, Senior Threat Researcher bei Sophos. „Aus diesem Grund mussten Betrüger, die auf iOS-Geräte abzielten, die Anwender davon überzeugen, zuerst ein Konfigurationsprofil zu installieren, bevor sie die gefälschte Handels-App installieren konnten. Dies beinhaltet eine zusätzliche Ebene des Social Engineering – eine Ebene, die schwer zu überwinden ist.“

Die meisten Nutzer vertrauen Apple von Natur aus und haben keine Bedenken. „Viele potenzielle Opfer werden dann stutzig, dass etwas nicht stimmt, wenn sie eine vermeintlich legitime App nicht direkt herunterladen können“, führt Chandraiah weiter aus. „Indem die Cyberkriminellen nun Anwendungen direkt in den Apple App Store bringen konnten, haben sie den potenziellen Opfer-Pool enorm vergrößert.“

Beide gefundene Apps sollen zudem nicht den neuen Lockdown-Modus von iOS ausgelöst haben, der Betrüger daran hindert, mobile Profile zu laden, die für Social Engineering hilfreich sind. Angesichts der Sicherheitsfunktionen in Lockdown ändern die Betrüger möglicherweise die Taktik und konzentrieren sich darauf, den Überprüfungsprozess im App Store zu umgehen.

Fallbeispiel eines CryptoRom-Betrugs

Als konkretes Beispiel eines CryptoRom-Betrugs via Ace Pro köderten die Betrüger ihr Ziel mit einem gut gefälschten Facebook-Profil einer Frau mit angeblich verschwenderischem Lebensstil. Nachdem beide Seiten scheinbar eine Beziehung zueinander aufgebaut hatten, wurde die Kommunikation auf WhatsApp verlagert. Im Chat wurde das Opfer davon überzeugt, die betrügerische Ace Pro-App herunterzuladen. Von dort aus entfaltete sich der Kryptowährungsbetrug.

Ace Pro wurde im App Store als QR-Code-Scanner beschrieben, dahinter versteckt sich jedoch eine betrügerische Krypto-Handelsplattform. Nach dem Öffnen sehen Benutzer eine Handelsplattform, auf der sie angeblich Währungen einzahlen und abheben können. Das eingezahlte Geld geht allerdings direkt an die Betrüger.

Um die Sicherheit des App Store zu umgehen, gehen die Sophos-Forscher davon aus, dass die Betrüger die App mit einer Website mit harmlosen Funktionen verbunden haben. Die Domain enthielt einen Code für das QR-Scannen, damit sie für App-Kontrolleure legitim aussieht. Sobald die App genehmigt wurde, leiteten die Betrüger die App auf eine in Asien registrierte Domain um. Diese Domain sendet eine Anfrage, die mit Inhalten von einem anderen Host antwortet, der letztendlich die gefälschte Handelsplattform liefert.

Die Apple App MBM_BitScan, nur als „BitScan“ gelistet, verfolgt einen ähnlichen Ansatz und treibt auch auf Android-Geräten ihr Unwesen. Sowohl die App aus dem Apple App Store, als auch die aus Google Play, kommunizieren mit derselben Command-and-Control-Infrastruktur, die dann wiederum mit einem Server (ähnlich einer legitimen japanischen Kryptofirma) Kontakt aufbaut. Diese Fake-Seiten werden in Sekundenschnelle geladen, die bösartigen Inhalte verbleiben auf dem Web-Server und nicht im Anwendungscode. Die Aufdeckung ist schwierig, da es für die Tester eben nicht ausreicht, nur den Code zu betrachten.