Hacker-Gruppe CryptoCore klaute über 200 Mio. USD

CryptoCore, Crypto-Gang, Dangerous Password oder Leary Turtle sind Codenamen von ClearSky für ein versteckte Hackergruppe. Das Kollektiv soll seit dem Mai 2018 über 200. Mio USD von Krypto-Börsen auf der ganzen Welt entwendet haben. Besonders im Fokus stünden allerdings die USA und Japan.

Krypto-Heist auf Bitcoin-Exchange

In der Vorgehensweise scheint die CryptoGang nicht sonderlich technisch zu sein. Das Muster der Angriffe folgt meist dem gleichen Schema:

1. Opfer auskundschaften – Wer sind die wichtigen Mitarbeiter? Wer sind Partnerfirmen der Börse? Gibt es ein Passwortmanager mit zentralem Passwort?
2. Infrastruktur für Angriff aufbauen – bspw. eine Domain mieten, die der des Opfers sehr ähnlich sieht
3. Phishing E-Mail an Schlüsselperson versenden mit bit.ly Link
4. Malware auf dem System des Opfers installieren
5. Zugriff auf eine Wallet des Opfers erhalten.

Auch wenn der Angriff technisch gesehen nicht der raffinierteste ist, hatte CryptoCore großen Erfolg. Einerseits versteckte CryptoCore ihre Maleware teilweise auf Google Drive. Andererseits kam eine auffällig große Menge an Visual Basic Script (VBS) zum Einsatz – das Markenzeichen der Gruppe. Außerdem bemerkte ClearSky bei den Ermittlungen eine extrem schnelle Response Time von den Hacker. Genauer gesagt, wurden Domains nach der Registrierung manchmal noch am selben Tag verwendet.

Honeypots und Sicherheit

Jede Wallet, die größere Summen an Kryptowährungen hält ist ein attraktives Ziel für Hacker. Angelehnt an den hungrigen Bären auf der Suche nach Honig, spricht man deswegen auch von einem Honeypot. Gerade die größten Börsen der Welt, die Binances, Coinbases und Krakens, müssen extrem auf ihre Sicherheit achten. Nicht zuletzt fiel Binance schon mindestens zwei mal Hackern zum Opfer und verlor zudem Kundendaten. Natürlich kommen bei großen Exchanges ausgeklügelte Multi-Signature Wallet Mechanismen zum Einsatz. Doch wie ClearSky mit CryptoCore zeigt, ist es doch oft die menschliche Komponente die versagt. Die ausgedehnte Erkundungs Phase von CryptoCore sollte uns allen Gedanken machen. Hacker können sehr geduldig sein, wenn es darum geht einen Angriff vorzubereiten. Auch wenn Privatpersonen nicht das Ziel der Angreifer sind, sollten wir uns angewöhnen zweimal auf den E-Mail Absender zu schauen und verkürzte Links im Zweifel lieber nicht öffnen.