Betrüger und Langfinger treiben in den Weiten des Internets seit jeher ihr Unwesen. Unachtsame Krypto-Hodler stehen dabei schon seit Langem im Visier der Cyber-Kriminellen. Das unterstreicht die diebische Malware PennyWise, die momentan auf Youtube zirkuliert.
Die Cyber-Sicherheitsfirma Cyble beschrieb PennyWise detailliert in einem Blogpost vom 30. Juni. Die Autor:innen berichten dort von mehreren Sichtungen der Schädlingssoftware in freier Wildbahn. PennyWise befindet sich jedoch bereits seit mindestens Mitte Mai im Umlauf, damals machte ein Twitter-User auf den Krypto-stehlenden Virus aufmerksam. Cyble spricht nun von einer “aufkommenden Bedrohung.”
PennyWise kann insgesamt die Daten aus 30 Browser-Diensten und Krypto-Tools auslesen und an seine Urheber übersenden.
Krypto-Malware verpackt als Mining-Tool
Verbreitet wird PennyWise über Youtube. Die Scammer haben über 80 Videos auf die beliebte Plattform gestellt, die Anleitungen für das Mining von Bitcoin enthalten. Ahnungslose Zuschauer:innen werden von dort auf eine Webseite weitergeleitet, die ihnen eine kostenlose Software für das BTC-Schürfen verspricht. Geschickt suggerieren die Betrüger:innen hier, dass ihre Software sicher sei. Daneben fordern sie sogar auf, das eigene Antiviren-Programm vor der Installation auszuschalten.
Der Youtube-Account der Scammer scheint mittlerweile gelöscht. Medienberichten nach zirkulieren jedoch Links zu der Betrugsseite in den Beschreibungen reichweitenschwächerer Videos.
Hat sich PennyWise derart auf den eigenen PC geschleust, beginnt das Tool Systemdaten auszulesen. PennyWise stiehlt so Informationen aus Chromium und Firefox samt zugehöriger Krypto-Erweiterungen, erstellt Screenshots und kann sogar Chatverläufe kopieren und auslesen. Besonders gefährlich: Das Tool zielt auch auf eine Reihe von sogenannten Cold Wallets ab, die eigentlich vom Internet getrennt auf der lokalen Festplatte des Hodlers laufen und derart ein hohes Maß an Sicherheit versprechen. Ins Visier geraten laut Cyble etwa “Zcash, Armory, Bytecoin, Jaxx, Exodus, Ethereum, Electreum, Atomic Wallet, Guarda, und Coinomi.”
Führt die Spur nach Russland?
Interessant ist auch eine weitere Eigenheit der Malware. Denn diese überprüft bei ihrer Installation den Standort des jeweiligen Rechners. Befindet sich dieser in Russland, der Ukraine, Belarus oder Kasachstan, stellt PennyWise den Betrieb ein. Das lässt laut Cyble darauf schließen, dass den Scammern besonders daran gelegen ist, den Strafverfolgungsbehörden dieser Staaten aus dem Weg zu gehen.
Dass die Krypto-Scammer aus einem dieser Staaten stammen könnten, unterstreicht ebenfalls, dass PennyWise die Zeitangaben aller ausgelesenen Daten in die Moskauer Standardzeit konvertiert. Diese Zeitzone entspricht nicht nur der Hauptstadt Russlands, sie ist auch die Zeitzone von der Ukraine und von Belarus.
Insbesondere Russland gilt dabei als Zentrum illegaler Aktivitäten im Cyberspace. Seit Beginn des Angriffskriegs gegen die Ukraine warnten Experten vor einer Zunahme russischer Angriffe im Internet.
