Infostealer-Malware: Wie RedLine und Lumma Krypto-Daten stehlen

Definition

Infostealer-Malware ist eine Kategorie bösartiger Software, die darauf ausgelegt ist, heimlich sensible Daten von einem infizierten Computersystem zu extrahieren. Diese Daten umfassen typischerweise gespeicherte Passwörter, Sitzungs-Cookies, Browser-Autofill-Informationen und, entscheidend für Kryptowährungs-Nutzer, digitale Wallet-Dateien und private Schlüssel. Im Gegensatz zu Ransomware, die den Zugriff auf Daten sperrt, konzentrieren sich Infostealer darauf, Informationen stillschweigend für finanziellen Gewinn oder weitere bösartige Aktivitäten zu exfiltrieren.

Kernaussage

Infostealer-Malware stellt eine erhebliche Bedrohung für Inhaber digitaler Vermögenswerte dar, indem sie direkt die Anmeldeinformationen und Wallet-Daten angreift, die für den Zugriff auf Kryptowährungen unerlässlich sind. Die Verbreitung dieser Tools, insbesondere durch "Malware-as-a-Service" (MaaS)-Modelle, wie sie von RedLine und Lumma verwendet werden, macht sie für eine Vielzahl von Cyberkriminellen leicht zugänglich, was zu weit verbreitetem Identitätsdiebstahl und direkten finanziellen Verlusten im Krypto-Bereich führt. Das Verständnis ihrer Mechanik und die Implementierung robuster Sicherheitspraktiken sind von größter Bedeutung für den Schutz des digitalen Vermögens.

Mechanik

Die Funktionsweise von Infostealer-Malware beginnt mit ihrer anfänglichen Übertragung auf das Gerät eines Opfers, oft getarnt als legitime Software, gecrackte Spiele oder durch Phishing-Kampagnen. Nach der Ausführung etabliert die Malware Persistenz auf dem System, wodurch sie kontinuierlich ausgeführt und der Erkennung entgehen kann. Anschließend scannt sie das infizierte Gerät systematisch nach bestimmten Datentypen. Dazu gehört das Abfragen von Webbrowsern nach gespeicherten Anmeldeinformationen, Autofill-Daten und Sitzungs-Cookies, die verwendet werden können, um die Multi-Faktor-Authentifizierung zu umgehen.

Über Browser-Daten hinaus sind Infostealer wie RedLine und Lumma speziell darauf ausgelegt, kryptowährungsbezogene Informationen anzugreifen. Sie suchen nach Wallet-Dateien, privaten Schlüsseln und Seed-Phrasen, die von verschiedenen Desktop-Wallet-Anwendungen gespeichert werden. RedLine ist beispielsweise dafür bekannt, eine breite Palette von Anwendungen über Browser hinaus anzugreifen, darunter VPN-Clients, FileZilla, Discord, Steam und Telegram, um Anmeldeinformationen und sensible Daten von diesen Plattformen zu extrahieren. Es sammelt auch umfangreiche Systeminformationen, wie laufende Prozesse, installierte Antivirenprodukte, installierte Programme sowie Details zum Betriebssystem und zur Hardware. Die gesammelten Daten werden dann zu sogenannten "Stealer-Logs" zusammengefasst, die oft komprimiert und verschlüsselt werden, bevor sie an einen Command-and-Control (C2)-Server des Angreifers exfiltriert werden. RedLine wandelt diese Informationen speziell in das XML-Format um und sendet sie über SOAP-Nachrichten. Diese Logs werden dann häufig auf Darknet-Marktplätzen verkauft oder in privaten Cybercrime-Foren geteilt, wodurch andere Bedrohungsakteure einen anfänglichen Zugang für nachfolgende Angriffe, wie Kontoübernahmen oder die Bereitstellung von Ransomware, erhalten.

Trading-Relevanz

Für Kryptowährungs-Trader und -Investoren stellt Infostealer-Malware eine direkte und schwerwiegende Bedrohung für ihre digitalen Vermögenswerte dar. Die primäre Relevanz liegt in der Fähigkeit der Malware, Kryptowährungs-Wallets und Börsenkonten zu kompromittieren. Wenn ein Infostealer erfolgreich private Schlüssel, Seed-Phrasen oder Anmeldeinformationen für eine Börse extrahiert, kann ein Angreifer schnell Gelder von den Konten des Opfers abziehen. Dies kann geschehen, ohne dass das Opfer überhaupt merkt, dass sein System kompromittiert wurde, bis es zu spät ist. Die Geschwindigkeit, mit der diese Angriffe stattfinden können, oft innerhalb von Minuten nach der Datenexfiltration, unterstreicht die Dringlichkeit robuster Sicherheitsmaßnahmen.

Darüber hinaus kann der Diebstahl von Browser-Sitzungs-Cookies es Angreifern ermöglichen, Anmeldeinformationen vollständig zu umgehen und direkten Zugriff auf aktive Trading-Sitzungen an Börsen oder webbasierten Wallets zu erhalten. Dies bedeutet, selbst wenn ein Benutzer starke Passwörter hat, kann ein kompromittiertes Sitzungs-Cookie einem Angreifer vorübergehenden, unbefugten Zugriff gewähren. Trader, die sensible Informationen, wie API-Schlüssel für automatisierte Trading-Bots, im Klartext oder an leicht zugänglichen Stellen auf ihren kompromittierten Maschinen speichern, sind besonders anfällig. Die finanziellen Auswirkungen sind unmittelbar und oft irreversibel, da Kryptowährungs-Transaktionen unveränderlich sind. Daher ist das Verständnis der Angriffsvektoren von Infostealern und die Implementierung präventiver Maßnahmen nicht nur eine bewährte Praxis, sondern eine grundlegende Anforderung für jeden, der im Krypto-Handel tätig ist.

Risiken

Die Risiken, die mit Infostealer-Malware verbunden sind, gehen weit über den unmittelbaren Verlust von Kryptowährungen hinaus. Ein primäres Risiko ist der Identitätsdiebstahl und die Kontoübernahme (ATO) über verschiedene Online-Dienste hinweg. Sobald ein Angreifer die Anmeldeinformationen eines Opfers besitzt, kann er auf E-Mail-Konten, soziale Medien, Bankportale und andere sensible Plattformen zugreifen, was zu einer Kaskade weiterer Kompromittierungen führt. Dies kann erhebliche finanzielle Schäden, Reputationsschäden und langfristige Sicherheitslücken zur Folge haben. Die gestohlenen Anmeldeinformationen können auch als anfängliche Zugangspunkte für komplexere Angriffe wie die Bereitstellung von Ransomware oder Business Email Compromise (BEC)-Kampagnen verwendet werden, bei denen die Identität des Opfers genutzt wird, um andere zu betrügen.

Speziell für Krypto-Nutzer ist der direkte Diebstahl von privaten Schlüsseln oder Seed-Phrasen aus Software-Wallets oder Browser-Erweiterungen eine existenzielle Bedrohung. Im Gegensatz zum traditionellen Bankwesen, wo betrügerische Transaktionen manchmal rückgängig gemacht werden können, sind Kryptowährungs-Transaktionen irreversibel. Sobald Gelder von einer kompromittierten Wallet verschoben wurden, ist eine Wiederherstellung praktisch unmöglich. Die Verwendung von Malware-as-a-Service (MaaS)-Modellen für Infostealer wie RedLine und Lumma senkt die Eintrittsbarriere für Cyberkriminelle, wodurch diese Angriffe häufiger und ausgefeilter werden. Diese Zugänglichkeit bedeutet, dass selbst technisch weniger versierte Angreifer potente Malware einsetzen können, was die gesamte Risikolandschaft erhöht. Darüber hinaus schafft der Verkauf von "Stealer-Logs" auf Darknet-Märkten eine Sekundärökonomie für gestohlene Daten, die sicherstellt, dass kompromittierte Informationen im Laufe der Zeit von mehreren böswilligen Akteuren ausgenutzt werden können, wodurch die Phase der Anfälligkeit für Opfer verlängert wird.

Geschichte und Beispiele

Infostealer-Malware hat eine fast zwei Jahrzehnte lange Geschichte und hat sich in Bezug auf Komplexität und Zugänglichkeit erheblich weiterentwickelt. Frühe Varianten konzentrierten sich hauptsächlich auf die grundlegende Passwörterfassung, aber moderne Infostealer sind weitaus fortschrittlicher, zielen auf ein breiteres Datenspektrum ab und nutzen ausgeklügelte Verteilungsmethoden. Der Aufstieg von Malware-as-a-Service (MaaS)-Modellen hat den Zugang zu diesen Tools demokratisiert und ermöglicht es selbst unerfahrenen Cyberkriminellen, effektive Kampagnen zu starten. Diese Verschiebung hat Infostealer zu einer allgegenwärtigen Bedrohung im Cybercrime-Ökosystem gemacht.

RedLine Stealer entwickelte sich zu einem prominenten Beispiel und erlangte aufgrund seiner weiten Verbreitung große Bekanntheit. Laut Kaspersky-Forschung war RedLine zwischen 2020 und 2023 an 51 % der Infostealer-Infektionen beteiligt, was ihn zu einer der beliebtesten Varianten machte. Es handelt sich um eine .NET-basierte Malware, die als MaaS verkauft wird und für ihre Fähigkeit bekannt ist, sensible Daten aus Webbrowsern, Kryptowährungs-Wallets und verschiedenen Anwendungen wie VPN-Clients, FileZilla, Discord, Steam und Telegram zu exfiltrieren. RedLine sammelt auch umfangreiche Systeminformationen, einschließlich laufender Prozesse und installierter Software, die für weitere Angriffe genutzt werden können. Die Verbreitung erfolgt oft durch betrügerische Mittel, wie gecrackte Software oder bösartige Anhänge. Ein weiterer wichtiger Akteur ist Lumma Stealer, eine neuere, aber schnell wachsende Bedrohung. Ebenfalls als abonnementbasierter Dienst in Untergrundforen verkauft, ist Lumma hochwirksam beim Stehlen von Anmeldeinformationen, Kryptowährungs-Wallets und Systemdaten. Es ist bekannt für seine vielfältigen Daten-Targeting-Fähigkeiten, die über einfache Passwörter hinausgehen, um eine breite Palette sensibler Informationen zu erfassen. Andere bemerkenswerte Infostealer sind Vidar Stealer, der ebenfalls Passwörter, Browser-Daten und Kryptowährungs-Wallets angreift, was den gemeinsamen Fokus dieser Malware-Typen auf finanzielle und identitätsbezogene Daten verdeutlicht.

Häufige Missverständnisse

Ein häufiges Missverständnis ist, dass starke, einzigartige Passwörter allein einen ausreichenden Schutz vor Infostealern bieten. Obwohl starke Passwörter eine grundlegende Sicherheitspraxis sind, können Infostealer diese umgehen, indem sie Sitzungs-Cookies stehlen, die es Angreifern ermöglichen, eine aktive Benutzersitzung zu kapern, ohne das Passwort zu benötigen. Sie können auch direkt private Schlüssel oder Seed-Phrasen aus unverschlüsselten Wallet-Dateien extrahieren, wodurch die Passwortstärke für den direkten Krypto-Diebstahl irrelevant wird. Eine weitere Fehleinschätzung ist, dass Antiviren-Software vollständige Immunität bietet. Obwohl Antiviren-Software unerlässlich ist, entwickeln sich Infostealer ständig weiter, indem sie Verschleierung und neue Verteilungsmethoden verwenden, um der Erkennung zu entgehen. Zero-Day-Exploits oder hochgradig gezielte Angriffe können traditionelle signaturbasierte Erkennung umgehen und Benutzer selbst mit aktueller Sicherheitssoftware anfällig machen.

Des Weiteren glauben viele Benutzer, dass nur große Unternehmen oder vermögende Privatpersonen Ziele sind. In Wirklichkeit werden Infostealer oft wahllos verbreitet, wodurch jeder mit einem Computer und Internetzugang zu einem potenziellen Opfer wird. Das "Malware-as-a-Service"-Modell bedeutet, dass Angreifer nicht hochqualifiziert sein müssen, um diese Bedrohungen einzusetzen, was die Wahrscheinlichkeit weit verbreiteter, opportunistischer Angriffe erhöht. Es gibt auch ein Missverständnis über den Wert gestohlener Daten; selbst scheinbar harmlose Informationen können für einen Angreifer wertvoll sein, wenn sie mit anderen Datenpunkten kombiniert werden. Zum Beispiel könnte eine Liste installierter Programme Software-Schwachstellen aufdecken, oder Systemdetails könnten bei der Erstellung gezielterer Phishing-Kampagnen helfen. Schließlich könnten einige Benutzer denken, dass das einfache Löschen der Malware nach der Erkennung das Problem löst. Der Schaden ist jedoch bereits angerichtet, sobald die Daten exfiltriert wurden. Der entscheidende Schritt nach der Erkennung besteht darin, alle kompromittierten Anmeldeinformationen als gestohlen zu betrachten, Sitzungen zu invalidieren, alle Passwörter zu ändern und alle betroffenen Konten, einschließlich Kryptowährungs-Wallets, zu sichern.

Zusammenfassung

Infostealer-Malware, veranschaulicht durch Bedrohungen wie RedLine und Lumma, stellt eine ausgeklügelte und allgegenwärtige Gefahr in der digitalen Landschaft dar, insbesondere für Kryptowährungs-Nutzer. Diese bösartigen Programme sind darauf ausgelegt, eine breite Palette sensibler Daten stillschweigend zu extrahieren, einschließlich Anmeldeinformationen, Browser-Informationen und, entscheidend, Kryptowährungs-Wallet-Dateien und private Schlüssel. Oft über "Malware-as-a-Service"-Modelle operierend, sind sie für Cyberkriminelle leicht zugänglich, was zu weit verbreitetem Identitätsdiebstahl, Kontoübernahmen und direkten finanziellen Verlusten führt. Die Mechanik umfasst die anfängliche Infektion, das Sammeln von Daten aus Browsern und Anwendungen sowie die Exfiltration an Angreifer-kontrollierte Server, wobei gestohlene Informationen häufig auf Darknet-Marktplätzen verkauft werden. Für Trader bedeutet dies ein unmittelbares und irreversibles Risiko für digitale Vermögenswerte. Eine effektive Verteidigung erfordert einen mehrschichtigen Ansatz: die Verwendung von Hardware-Wallets für die Cold Storage, die Aktivierung der Multi-Faktor-Authentifizierung, äußerste Vorsicht bei Downloads und Links, die Pflege aktueller Sicherheitssoftware und die regelmäßige Sicherung kritischer Daten. Proaktive Sicherheitsmaßnahmen und ein tiefes Verständnis dieser Bedrohungen sind unerlässlich, um digitales Vermögen angesichts der sich entwickelnden Cyberkriminalität zu schützen.