Was ist passiert?
Die auf Krypto spezialisierte Sicherheitsfirma SlowMist hat eine Warnung zu einer Datei herausgegeben, die als "Cracked TradingView Premium" verbreitet wird, also als illegale, geknackte Version des kostenpflichtigen Tarifs der beliebten Handelsplattform TradingView. Laut SlowMist handelt es sich nicht um funktionierende Gratissoftware, sondern um Malware (ein Schadprogramm), die es auf Windows-Nutzer abgesehen hat und versucht, mit Krypto-Wallets verbundene Daten zu erbeuten. Berichtet hat darüber das Portal The Defiant.
Mit anderen Worten: Jemand lockt Nutzer mit einem "kostenlos freigeschalteten" Premium-Tool und schleust ihnen stattdessen ein Programm auf den Rechner, das sensible Daten sammelt.
Wie funktioniert die Malware laut SlowMist?
Laut der Warnung von SlowMist, wie sie The Defiant zusammenfasst, hat das Windows-Sample eine technisch interessante Eigenschaft. Zur Rotation der sogenannten Command-Server (Steuerungsserver, über die der Angreifer die infizierten Maschinen kontrolliert und Daten von ihnen abgreift) missbraucht es die gängigen Dienste Telegram und Steam.
Warum tun Angreifer das? Wenn sich Befehle und Adressen der Steuerungsserver hinter legitimen, weit verbreiteten Plattformen verstecken, lässt sich der Datenverkehr der Malware schwerer als offenkundig schädlich herausfiltern. Die Kommunikation verschmilzt mit dem normalen Datenverkehr, der auf Rechnern ohnehin üblich ist.
Wie viele Opfer gibt es und wie viel wurde gestohlen?
Das ist der entscheidende Teil, bei dem Ehrlichkeit gefragt ist. Die Warnung von SlowMist nennt laut The Defiant weder bestätigte Diebstähle noch eine Zahl der Opfer. Wir wissen also nicht, wie viele Menschen die Datei heruntergeladen haben, ob jemandem tatsächlich Mittel abhandengekommen sind, noch wie groß ein etwaiger Schaden ist.
Die Warnung ist somit ein präventives Signal über die Existenz einer Bedrohung, keine Bilanz bereits angerichteter Schäden. Das ist eine wichtige Unterscheidung: Die Existenz der Malware ist durch die Aussage von SlowMist belegt, das Ausmaß der Auswirkungen ist nicht belegt.
Warum das auch über diese eine Datei hinaus wichtig ist
Dieser Fall passt in ein breiteres Muster der letzten Tage, in dem Krypto-Nutzer wiederholt mit der Offenlegung sensibler Daten konfrontiert sind. Ein Beispiel ist das gemeldete Datenleck beim Anbieter von Krypto-Debitkarten Gnosis Pay, über das Cointelegraph berichtete. Laut Gnosis Pay wurden Kartendaten, persönliche Informationen sowie mit Krypto-Wallets verbundene Informationen offengelegt, das Unternehmen erklärte jedoch, dass die Mittel der Kunden sicher geblieben seien.
Der gemeinsame Nenner ist nicht ein konkreter Angriff, sondern das, was auf dem Spiel steht: Zugangs- und Identifikationsdaten, die in der Krypto-Welt direkt zum Geld führen können. Genau deshalb sind Handelstools, Karten und Wallets ein attraktives Ziel.
Worauf man bei dieser Art von Bedrohung achten sollte
Dies ist keine Anlageberatung und keine Liste, was man kaufen soll. Es ist eine Beschreibung der Mechanik, damit Sie ein ähnliches Muster erkennen:
- "Cracked" oder "kostenlos freigeschaltete" kostenpflichtige Programme sind ein klassischer Träger von Malware. Das Versprechen einer Premium-Funktion gratis ist der Köder.
- Malware schlägt oft nicht laut zu. Ziel ist es, leise Daten zu sammeln, nicht sich sofort bemerkbar zu machen, daher bedeutet das Fehlen eines sichtbaren Problems nicht, dass alles sauber ist.
- Der Missbrauch legitimer Dienste (hier Telegram und Steam) bedeutet, dass "sieht normal aus" kein verlässlicher Sicherheitstest ist.
- Das Ausmaß des Schadens erfahren wir meist erst später, wenn überhaupt. Für diesen Fall gibt es bislang keine öffentlichen Zahlen.
Was bislang unbestätigt ist
Wesentliche Teile der Geschichte bleiben offen. Wir kennen die Zahl der Opfer nicht, wir kennen das Volumen etwaiger Verluste nicht und es gibt keine unabhängige Bestätigung der technischen Details außerhalb der Warnung von SlowMist selbst, so wie sie The Defiant übernommen hat. Wie sich die Situation entwickelt und ob konkrete Zahlen auftauchen, werden wir beobachten und gegebenenfalls ergänzen.