Ein neuer Bericht von Infoblox Threat Intel zeigt, dass das legitime DCloud-Uni-App-Framework zur Grundlage eines globalen Online-Betrugsökosystems geworden ist.
Forscher identifizierten mehr als 236.000 mit DCloud Uni-App erstellte Betrugsdomains, darunter gefälschte Kryptobörsen, Phishing-Websites, Glücksspielplattformen und Anlagebetrug.
Wichtigste Erkenntnisse
- Forscher verknüpften mehr als 236.000 Betrugsdomains mit dem legitimen DCloud-Uni-App-Framework. Dies zeigt, wie Bedrohungsakteure den Online-Betrug skalieren.
- Die Infrastruktur unterstützt gefälschte Kryptowährungsbörsen, Phishing-Kampagnen, Glücksspielplattformen, Anlagebetrug und andere betrügerische Websites.
- Infoblox beobachtete fast 1.000 Unternehmen, von deren Geräten mehr als fünf Millionen DNS-Abfragen an auf DCloud basierte Betrugsinfrastrukturen ausgingen. Dies verdeutlicht die Gefährdung von Unternehmen durch die Aktivitäten ihrer Mitarbeiter.
- Bedrohungsakteure setzen zunehmend ausgefeilte Methoden ein, darunter legitime staatliche Registrierungen und ausfallsichere Hosting-Dienste, um Betrugsversuche glaubwürdiger erscheinen zu lassen und ihre Störung zu erschweren.
DCloud ermöglicht ein groß angelegtes Betrugsökosystem
Die Forscher stellten fest, dass sich die Infrastruktur seit Mitte 2022 rasch ausgedehnt hat. Nach der Berichterstattung über den Kryptowährungsbetrug RainbowEx erreichte sie mit etwa 15.000 neuen Betrugswebsites pro Monat ihren Höchststand.
Die Forscher fanden Hinweise darauf, dass nicht eine einzelne kriminelle Operation dahintersteckt, sondern mehrere Bedrohungsakteure ähnliche DCloud-basierte Vorlagen verwenden, um verschiedene betrügerische Dienste zu starten.
Dazu zählen:
- Gefälschte Kryptowährungsbörsen
- Websites zum Leeren von Kryptowährungs-Wallets
- Betrug mit Glücksspiel- und Prognosemärkten
- Phishing-Seiten zum Abgreifen von WhatsApp-Zugangsdaten
- Allgemeine Anlage- und Pyramidensysteme
Das Framework ermöglicht es Betreibern, schnell überzeugende Websites bereitzustellen und dabei in zahlreichen Kampagnen gemeinsamen Code, Registrierungsabläufe und Benutzeroberflächen wiederzuverwenden.
Anlagebetrug breitet sich weiter aus
Der Bericht führt dieselbe technische Vorlage, die im weithin bekannt gewordenen argentinischen RainbowEx Kryptowährungs-Betrug zum Einsatz kam, auf Aktivitäten zurück, die gezielt Opfer in den USA ansprechen.
Die Forscher hoben einen andauernden Anlagebetrug mit Fahrradverleih hervor, der sich als legitimes Unternehmen ausgibt und zugleich eine echte Registrierung als Money Services Business beim U.S. Financial Crimes Enforcement Network (FinCEN) vorweist.
Obwohl die Registrierung echt ist, weist Infoblox darauf hin, dass FinCEN Verbraucher ausdrücklich davor warnt, eine Registrierung allein als staatliche Genehmigung oder als Beleg für die Legitimität zu verstehen.
Der Bericht bringt die DCloud-Infrastruktur außerdem mit dem früheren Anlagesystem Lightning Shared Scooter Co. (LSSC) in Verbindung, das Berichten zufolge in zahlreichen US-Bundesstaaten Verluste in Millionenhöhe verursachte, nachdem es Opfer dazu gebracht hatte, in fiktive Scooter-Verleihdienste zu investieren.
Unternehmensnetzwerke sind erheblich gefährdet
Obwohl sich diese Betrugsversuche in erster Linie gegen Verbraucher und nicht gegen Unternehmen richten, zeigt die Untersuchung eine messbare Gefährdung von Unternehmen.
Infoblox beobachtete etwa 985 Unternehmen aus 25 Branchen, von deren Geräten aus versucht wurde, auf DCloud-basierte Betrugsinfrastrukturen zuzugreifen.
Zusammen erzeugten diese Unternehmen mehr als fünf Millionen DNS-Abfragen an identifizierte Betrugsdomains.
Die Forscher gehen davon aus, dass diese Aktivitäten keine direkten Angriffe auf Unternehmensnetzwerke darstellen, sondern darauf zurückzuführen sind, dass Mitarbeiter von Unternehmensgeräten oder bei bestehender Verbindung mit Unternehmensnetzwerken auf betrügerische Websites zugreifen.
So lässt sich das Risiko reduzieren
Infoblox empfiehlt Unternehmen, ihr Risiko zu reduzieren, indem sie den Schutz auf der DNS-Ebene mit einer umfassenderen Sensibilisierungs-schulung für Mitarbeiter kombinieren.
Die Sicherheit auf DNS-Ebene kann bekannte Betrugsdomains blockieren, bevor Nutzer sie erreichen. Eine erweiterte Sensibilisierungsschulung sollte sich mit Anlagebetrug gegen Verbraucher, gefälschten Kryptowährungsplattformen und Social-Engineering-Taktiken befassen.
Unternehmen sollten Nutzer außerdem darüber aufklären, dass staatliche Registrierungen, einschließlich FinCEN-Einträgen, die Legitimität einer Anlagegelegenheit nicht bestätigen, und die DNS-Aktivitäten auf Verbindungen zu bekannter Betrugsinfrastruktur überwachen.
Die Forscher fügten hinzu, dass ausgefeiltere Betreiber zunehmend auf ausfallsicheres Hosting setzen, das Maßnahmen zur Abschaltung besser widersteht.
Fazit
Die Untersuchung von Infoblox zeigt, wie legitime Entwicklungsframeworks von Cyberkriminellen in großem Maßstab zweckentfremdet werden können, um schnell überzeugende Betrugskampagnen zu starten.
Da Betrugskampagnen immer ausgefeilter werden, Zero-Trust-Lösungen können Unternehmen dabei helfen, Nutzer und Geräte kontinuierlich zu überprüfen, bevor sie Zugriff auf kritische Ressourcen gewähren.