Mobile-Menu

Scheinunternehmen für Social-Engineering-Kampagne Wie Fake-Startups systematisch Krypto-Wallets plündern

Ein Gastbeitrag von Max Heinemeyer 6 min Lesedauer

Anbieter zum Thema

Darktrace Limited
FTAPI Software GmbH

Professionelle Websites, verifizierte Social-Media-Profile, öffentlicher Git­Hub-Code: Fake-Startups wie „Eternal Decay“ inszenieren sich als seriöse Web3-Unternehmen. Über vermeintliche Beta-Tests verbreiten sie Malware, die gezielt Krypto-Wallets leert. Darktrace analysiert die Kampagne, die seit Ende 2024 aktiv ist und mit hohem Aufwand operiert.

Fake-Startups wie „Eternal Decay" täuschen mit professionellen Websites und GitHub-Code seriöse Web3-Unternehmen vor, um Malware für Krypto-Wallet-Diebstahl zu verbreiten.(Bild: © m.mphoto & MR - stock.adobe.com)
Fake-Startups wie „Eternal Decay" täuschen mit professionellen Websites und GitHub-Code seriöse Web3-Unternehmen vor, um Malware für Krypto-Wallet-Diebstahl zu verbreiten.
(Bild: © m.mphoto & MR - stock.adobe.com)

Eine professionelle Website, zahlreiche Whitepaper und ein gepflegter Social-Media-Auftritt: Alles deutet auf ein seriöses Unternehmen hin. Das vermeintliche Web3-Startup „Eternal Decay“ tritt auf X (ehemals Twitter) mit verifiziertem Profil auf, bewirbt ein Blockchain-basiertes Spiel und veröffentlicht regelmäßig Updates, Blogbeiträge und Roadmaps. Auf GitHub ist öffentlich zugänglicher Code zu finden, auf der Website werden angebliche Teammitglieder vorgestellt. Sogar der persönliche Kontakt wird gesucht: Ein angeblicher Mitarbeiter fragt per Direktnachricht, ob man die Software gegen eine kleine Krypto-Vergütung testen möchte. Doch der vermeintlich harmlose Test entpuppt sich als Falle. Der Download enthält Malware, die gezielt Krypto-Wallets leert.

Seit Ende 2024 kursiert eine professionell inszenierte Social-Engineering-Kampagne, die sich hinter Fake-Startups wie „Eternal Decay“ verbirgt. Der Aufwand der Angreifer ist beträchtlich. Sie bauen vollständige Scheinunternehmen auf, die vorgeben, in Bereichen wie KI, Gaming, Web3 oder Collaboration-Tools tätig zu sein. Häufig werden Open-Source-Projekte umbenannt, um Einzigartigkeit vorzutäuschen. Es handelt sich um einen Paradigmenwechsel: Statt einfacher Phishing-Mails werden inzwischen über Monate hinweg realistisch wirkende Fake-Firmen betrieben. Der Aufwand lohnt sich für die Täter – denn bis Betroffene den Angriff bemerken, sind die Vermögenswerte längst verschwunden. Die Identifikation der Hin­ter­männer ist schwierig, unter anderem, weil sie VPS-Infrastrukturen, TOR, kompromittierte Server sowie Krypto-Wallets mit verschachtelten Mixer- und Exchange-Kaskaden nutzen, um ihre Spuren zu verwischen.

Gezielte Angriffe auf Web3-, KI- und Gaming-Communities

Die Kampagne richtet sich gezielt an Communities mit hohem Krypto-Anteil, darunter Web3-Entwickler, KI-Enthusiasten und Gamer. Die Kontaktaufnahme erfolgt über X-Nachrichten, Telegram oder Discord – häufig getarnt als Jobangebot oder Einladung zu einem Beta-Test. Die Opfer sollen einen Code eingeben und eine App herunterladen, meist als Windows-Electron-Anwendung oder macOS-DMG-Datei. Die Malware tarnt sich als legitime Software, während im Hintergrund ein komplexer Angriff abläuft.

Unter Windows startet die Anwendung zunächst eine automatische Systemanalyse. Erfasst werden unter anderem Benutzername, Hardwaredaten (z. B. Prozessor, RAM, Grafikkarte) sowie eine eindeutige Gerätekennung. Diese Informationen – zusammen mit einem Captcha-Token – werden an sogenannte Command-and-Control-Server (C2) übertragen. Besteht das System die Prüfung, wird im Hintergrund eine weitere, digital signierte Installationsdatei (EXE oder MSI) heruntergeladen und unbemerkt im „Silent Mode“ ausgeführt. Für die Nutzer bleibt der Vorgang unsichtbar.

Ein Teil der verwendeten Signaturen stammt aus gestohlenen Zertifikaten realer Unternehmen. Obwohl diese Zertifikate zum Zeitpunkt der Angriffe bereits widerrufen waren, konnten sie weiterhin missbraucht werden. Um Sicherheitslösungen zu umgehen, verschleiert die Malware ihr Verhalten durch Anti-Sandbox-Techniken und Code-Obfuskation. In einem weiteren Schritt werden Skripte in temporären Verzeichnissen abgelegt und ausgeführt. Ziel ist sogenannte Stealer-Malware wie Realst, die speziell für den Diebstahl von Krypto-Wallets, Zugangsdaten und Browserdaten entwickelt wurde.

Auch unter macOS verläuft der Angriff nach einem ähnlichen Muster. Die enthaltene DMG-Datei (ein gängiges macOS-Installationsformat) enthält ein verschlüsseltes Skript, das beim Öffnen über AppleScript eine bösartige Anwendung namens „SwoxApp“ in ein System­ver­zeich­nis verschiebt und startet. Die eingesetzte Malware „Atomic Stealer“ ist darauf ausgelegt, gängige Sicherheitsmechanismen zu umgehen – selbst in virtualisierten Umgebungen wie VMware oder Docker für macOS. Die gestohlenen Daten, darunter Wallet-Informationen, Cookies und Browser-Zugangsdaten, werden automatisch gebündelt, als ZIP-Datei gespeichert und an einen von den Angreifern kontrollierten Server übertragen.

Zusätzlich richtet ein weiteres Skript einen dauerhaften Systemanker ein, der bei jedem Systemstart automatisch aktiviert wird. Eine weitere Komponente überwacht das infizierte System kontinuierlich und sendet regelmäßig Nutzungsdaten an einen weiteren Server, meist unter einer kryptisch wirkenden Domain.

Bekannte Fake-Unternehmen und IoCs
  • Pollens AI (@pollensapp; pollens.app/io/tech; Windows-Hash: 02a5b35be82c59c55322d2800b0b8ccc)
  • Buzzu (@BuzzuApp; buzzu.app/us/me/space; Mac-Hash: be0e3e1e9a3fda76a77e8c5743dd2ced)
  • Swox (@SwoxApp; swox.io/app/cc; Windows: d50393ba7d63e92d23ec7d15716c7be6)
  • Eternal Decay (@metaversedecay; eternal-decay.xyz)
  • Weitere: Cloudsign, KlastAI, Wasper, Lunelior, BeeSync, Slax, Solune, Dexis, NexVoo/Loop, YondaAI.

IoCs: Domains wie manboon.com, gaetanorealty.com, mrajhhosdoahjsd.com; C2-Server: 45.94.47.112/167/contact, 77.73.129.18:80; YARA-Regel für Electron-Apps (require(‘electron’), HWID-Abfragen, msiexec).

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Verbindungen zu „Traffic“-Netzwerken wie CrazyEvil

Die beobachteten Aktivitäten weisen deutliche Parallelen zu sogenannten „Traffic“-Netzwerken auf. Dabei handelt es sich um Gruppierungen, bei denen Affiliates gezielt Internet-Traffic über SEO-Manipulation oder bezahlte Werbung generieren und gestohlene Daten anschließend auf kriminellen Marktplätzen weiterverkaufen. Besonders auffällig ist die Gruppe „CrazyEvil“, die 2025 von Recorded Future exemplarisch hervorgehoben wurde. Die Gruppierung ist seit 2021 aktiv und soll insbesondere durch Angriffe auf Krypto- und Gaming-Ziele Umsätze in Mil­li­o­nen­höhe erzielt haben. Zu ihren Methoden zählen der Aufbau gefälschter Unternehmens­web­sites sowie die Nutzung legitimer Plattformen wie X und Medium zur Verbreitung von Schad­code oder Social-Engineering-Inhalten. Zwar ist der genaue Ursprung der Gruppe unklar, doch Taktiken wie der Einsatz von Information-Stealern und manipulative Kommunikations­stra­te­gien sprechen deutlich für typische „Trafficker“-Muster.

Täuschend echt als neuer Normalzustand

Die aktuelle Welle von Fake-Startups zeigt, dass Cyberangriffe zunehmend glaubwürdig ins­ze­niert sind. Wirksamer Schutz entsteht nur durch die Kombination technischer Schutz­maß­nahmen mit kritischem Denken und gezielter Sensibilisierung. Andernfalls bleibt die neue Generation digitaler Täuschung kaum zu erkennen.

Abwehrstrategien

Abwehrstrategien für Unternehmen und Security-Teams

Verhaltens- und anomiebasierte Erkennung als primäre Kontrollinstanz: Diese Kampagnen sind schnelllebig, volumenarm und infrastrukturell flexibel – klassische Signaturen, Blocklisten und domainbasierte Kontrollen verlieren dadurch deutlich an Wirksamkeit. Da sich Tooling, Infrastruktur und Auslieferungsmechanismen laufend ändern, bleibt das Ausführungsverhalten das stabilste Erkennungsmerkmal. Die Erkennung sollte daher auf ungewöhnliches Ausführungsverhalten fokussieren, etwa unerwartete Systemanalysen, stille Installer-Ausführungen, Archiv-Erstellung, Privilegieneskalationen oder ausgehende Verbindungen kurz nach dem Start einer Anwendung.

Erkennung ungewöhnlicher Nutzungsmuster statt bekannter Schadindikatoren: Anstatt kurzlebigen IoCs hinterherzulaufen, sollten Security-Teams Abweichungen von etablierten Baselines überwachen: bislang unbekannte Anwendungen mit Netzwerkaktivität, Hintergrundinstallationen ohne Nutzerinteraktion, atypische Ausführungsketten oder legitime Tools außerhalb ihres vorgesehenen Funktionsrahmens. Solche Verstöße gegen „normales“ Nutzungsverhalten weisen häufig früher auf Angriffe hin als bekannte Schadindikatoren.

Korrelation schwacher Signale über Endpunkte hinweg: Kein einzelner Indikator identifiziert diese Bedrohungen zuverlässig. Frühzeitige Erkennung entsteht durch die Korrelation mehrerer schwacher Signale – etwa Prozessverhalten, Persistenzversuche, Zugriff auf sensible Daten, Privilegiennutzung und zeitliche Zusammenhänge – über Endpunkte und Nutzerkontexte hinweg. Erst in Kombination werden scheinbar harmlose Ereignisse aussagekräftig.

Netzwerkkontrollen als Kontext, nicht als Schutzbarriere: DNS-Filter, Netzwerkindikatoren und Zertifikatsüberwachung bleiben als unterstützender Kontext sinnvoll, insbesondere zur Anreicherung und Validierung nach einer verhaltensbasierten Verdachtsmeldung. Sie sollten jedoch verhaltensbasierte Endpunkterkennung ergänzen, nicht ersetzen. In hochadaptiven Kampagnen reicht rein netzwerkbasierte Blockierung nicht aus.

Kontrollierte Software-Umgebungen zur Schadensbegrenzung: Social Engineering wird gelegentlich erfolgreich sein. Die Einschränkung von Softwareinstallationen auf verwaltete Geräte, vertrauenswürdige Quellen sowie durchgesetzte MDM- oder Gatekeeper-Richtlinien reduziert die Auswirkungen, wenn Nutzerurteile und präventive Kontrollen versagen.

Abwehrstrategien für Einzelpersonen und Krypto-Nutzer

Davon ausgehen, dass Legitimität überzeugend gefälscht sein kann: Langfristig aufgebaute, professionell wirkende Profile, hochwertige Websites und glaubwürdige Hintergrundgeschichten sind heute Standard im Social Engineering. Entscheidungen sollten daher nicht auf Profilverifikation, Follower-Zahlen oder Plattformpräsenz basieren – selbst wenn alle äußeren Signale seriös wirken.

Situative Warnsignale erkennen statt Personas prüfen: Das Risiko steigt deutlich, wenn ungefragte Angebote mit Zeitdruck, finanziellen Anreizen und der Aufforderung zur Installation von Software außerhalb offizieller Vertriebswege kombiniert werden. Solche Muster sind weit schwerer zu legitimieren als jede Online-Persona. Seriöse Produkte erfordern selten Installationen über Direktnachrichten, private Links oder informelle Beta-Tests.

Informelle Softwareverteilung als zentrales Risikosignal verstehen: Aufforderungen, Software „kurz zu testen“, unsignierte Programme herunterzuladen oder offizielle App-Stores zu umgehen, sollten grundsätzlich als Hochrisikoszenarien gelten – unabhängig davon, wie glaubwürdig oder etabliert der Absender erscheint.

Schadensradius durch strikte Umgebungstrennung begrenzen: Täuschung kann selbst bei sorgfältiger Prüfung erfolgreich sein. Unbekannte Software sollte niemals auf Systemen ausgeführt werden, die mit aktiven Krypto-Wallets oder sensiblen Konten verbunden sind. Hardwaregestützte Wallets, isolierte Testumgebungen und konsequente Trennung bleiben essenzielle Schutzmaßnahmen, wenn Vertrauensgrenzen bereits überschritten wurden.

Über den Autor: Max Heinemeyer ist Global Field CISO bei Darktrace.

(ID:50801283)

Weiterführende Inhalte