Cyberkriminalität ist ein hochprofessionelles Geschäft. Auch wenn die Täter oft als ‚Banden‘ oder ‚Hackergruppen‘ bezeichnet werden: Dahinter verbergen sich illegale, aber hochprofessionelle Unternehmen mit modernsten Strukturen. Kaum jemand würde Marketing, Marktforschung, Recruiting oder Finanzbuchhaltung in der digitalen Illegalität vermuten. Wie das in der Praxis aussieht, haben die Forscher von Eset bei der Analyse des Toolkits "Telekopye" herausgefunden.
Forscher des IT-Sicherheitsherstellers Eset haben kürzlich ein Toolkit namens Telekopye entdeckt, mit dem auch technisch weniger versierte Personen Online-Betrug begehen können. Doch das ist nur die Spitze des Eisbergs, wie die weitere Analyse zeigt. Die Macher von Telekopye haben einen ausgeklügelten internen Rekrutierungsprozess für neue Mittäter entwickelt, betreiben intensive Marktforschung für eine gezielte Opferansprache und haben umfangreiche Anleitungen für den gezielten Betrug erstellt. Natürlich darf auch ein klares Regelwerk nicht fehlen, an das sich alle Kriminellen strikt halten müssen.
„Cybercrime ist ein Geschäft von höchster Professionalität. Auch wenn die Täter oftmals ‚Banden‘ oder ‚Hackergruppen‘ genannt werden: Dahinter verbergen sich illegale, aber höchst professionelle Unternehmen mit modernsten Strukturen. Marketing, Marktforschung Personalsuche und Finanzbuchhaltung würden nur die wenigsten in der digitalen Illegalität vermuten“, sagt Sicherheitsexperte Christian Lueg von Eset.
Mehr als nur ein Toolkit: Telekopye
Mit Telekopye können auch Möchtegern-Hacker problemlos Phishing-Websites erstellen, Phishing-SMS und -E-Mails versenden und gefälschte Screenshots anfertigen. Laut Eset Telemetrie ist dieses Tool immer noch im Einsatz und wird aktiv weiterentwickelt. Beispielsweise wurde ein Telegram-Bot implementiert, der den Kriminellen bei ihren Aktionen hilft. Interessanterweise nennen sich die Betrüger „Neandertaler“ und bezeichnen die potenziellen Opfer ihrer Betrugsmaschen als „Mammuts“.
„Mitarbeitersuche“ mit System
Telekopy-Gruppen rekrutieren neue Neandertaler, indem sie auf vielen verschiedenen Kanälen, einschliesslich Untergrundforen, Anzeigen schalten. In diesen Anzeigen wird das Ziel unverblümt genannt: die Nutzer von Online-Marktplätzen zu betrügen. Zukünftige „Telekopy-Mitarbeiter“ müssen - wie in der legalen Geschäftswelt - ein Bewerbungsformular ausfüllen, in dem sie grundlegende Fragen beantworten müssen, z.B. welche Erfahrung sie in diesem „Beruf“ haben. Wenn sie von den bestehenden Gruppenmitgliedern mit ausreichend hohem Rang akzeptiert werden, können die neuen Neandertaler das volle Potenzial von Telekopye ausschöpfen.
Drei Betrugsmaschen zur freien Auswahl
Es gibt drei wesentliche Betrugsszenarien: Verkäufer-, Käufer- und Erstattungsbetrug.
- Beim Verkäuferbetrug geben sich die Angreifer als Verkäufer aus und versuchen, ahnungslose Opfer zum Kauf eines nicht existierenden Artikels zu verleiten. Zeigt das Opfer Interesse an dem Artikel, erhält es einen Link zur angeblichen Bezahlseite. Dahinter verbirgt sich aber eine Phishing-Seite im Gewand einer legitimen Transaktionswebseite. Im Gegensatz zu einer rechtmässigen Website werden darauf Online-Banking-Zugangsdaten, Kreditkartendaten (manchmal einschliesslich des Kontostands) oder andere sensible Informationen abgefragt. Die Phishing-Seite stiehlt diese Daten automatisch.
- Beim Käuferbetrug geben sich die Angreifer als Käufer aus und suchen gezielt nach Opfern. Sie zeigen Interesse an einem Artikel und geben vor, diesen bereits über die bereitgestellte Plattform bezahlt zu haben. Dann schicken sie dem Opfer eine E-Mail oder SMS-Nachricht (per Telekopye) mit einem Link zu einer sorgfältig gestalteten Phishing-Website. Sie behaupten dann, das Opfer müsse auf diesen Link klicken, um sein Geld von der Plattform zu erhalten. Der Rest des Szenarios ähnelt sehr dem Verkäuferbetrug.
- Beim Rückerstattungsbetrug erschaffen die Angreifer eine Situation, in der das Opfer eine Rückerstattung erwartet, und senden ihm dann eine Phishing-E-Mail mit einem Link zu einer Phishing-Website, die wie bei den anderen Maschen sensible Daten stiehlt.
Marktforschung bietet Opfer auf dem Servierteller
„In fast jeder Gruppe von Neandertalern finden wir Hinweise auf Online-Marktforschungshandbücher, aus denen die Neandertaler ihre Strategien und Schlussfolgerungen ziehen“, sagt Eset Forscher Radek Jizba, der Telekopye untersucht hat. „Im Szenario des Käuferbetrugs wählen die Neandertaler ihre Ziele zum Beispiel nach der Art der zu verkaufenden Artikel aus. Manche Gruppen meiden dabei Elektronikartikel völlig. Auch der Preis des Artikels spielt eine Rolle. In den Handbüchern wird empfohlen, dass die Neandertaler im Szenario Käuferbetrug Artikel mit einem Preis zwischen 9,50 € und 290 € auswählen“, fügt er hinzu. Darüber hinaus verwenden die Angreifer von Telekopye Web Scraper, um schnell viele Angebote auf Online-Marktplätzen zu durchsuchen und ein „perfektes Opfer“ zu finden, das am ehesten auf den Betrug hereinfällt.
Goldene Regeln sind Pflicht
Die Angreifer hinter Telekopye gehen fest davon aus, dass sich in ihren Gruppen auch Strafverfolgungsbehörden und Forscher eingeschlichen haben. Um diesen wenig liebevoll genannten „Ratten“ keine Chance zu geben, wurde ein strikter Verhaltenskodex entwickelt. An den müssen sich alle ohne Ausnahme halten. So ist es beispielsweise strengstens verboten, nach Informationen zu suchen, die andere Gruppenmitglieder identifizieren könnten. Ein Verstoss gegen diese Regeln kann zum Ausschluss aus der Gruppe führen. Die goldene Regel lautet: „Mehr arbeiten, weniger reden“. Bis vor kurzem konzentrierten sich die Betrüger auf beliebte russische Online-Märkte wie Olx und Yula. Inzwischen expandieren sie auf internationale Plattformen, beispielsweise BlaBlaCar und eBay.