Sicherheitsexperten des IT-Sicherheitsunternehmens Rapid7 haben eine umfassende Cyber-Betrugskampagne identifiziert, die gezielt generative Künstliche Intelligenz zur Täuschung von Krypto-Anlegern einsetzt.
Unter dem Codenamen „Operation ASTERIX“ entwickelten die Angreifer täuschend echte Applikationen und automatisierte Werkzeuge, um sensible Zugangsdaten für digitale Vermögenswerte zu entwenden. Besonders auffällig ist dabei die Nutzung moderner KI-Coding-Assistenten zur Erstellung der Schadsoftware.
Einsatz von KI-Assistenten zur Tool-Entwicklung
Im Zentrum der Entdeckung steht die gezielte Zweckentfrierung von KI-Technologien wie GitHub Copilot und Claude Code. Laut den Erkenntnissen von Rapid7 nutzten die Hintermänner diese Werkzeuge, um Phishing-Infrastrukturen sowie gefälschte Versionen bekannter Wallet-Anwendungen zu programmieren. Betroffen sind manipulierte Klone der Software Trezor Suite, Ledger Live und Exodus, die sowohl für macOS als auch für Windows erstellt wurden.
Das primäre Ziel dieser gefälschten Anwendungen ist der Diebstahl von sogenannten Recovery-Phrasen, mit denen der Zugriff auf Krypto-Vermögen wiederhergestellt werden kann. Die Angreifer versuchten dabei auch, Sicherheitsbarrieren der KI-Modelle zu umgehen. Während ein Jailbreak-Versuch beim Modell Claude scheiterte, wichen die Akteure laut Rapid7 auf das Modell Kimi aus, um ihre Vorhaben umzusetzen.
Angreifer nutzen immer raffiniertere Methoden, um an sensible Zugangsdaten und digitale Ersparnisse zu gelangen. Ein kostenloser Report zeigt, wie Sie sich vor modernen Täuschungsversuchen schützen und Ihre Konten bei Diensten wie Amazon oder WhatsApp effektiv absichern. Sicherheits-Report zur passwortlosen Anmeldung jetzt gratis lesen
Datenleck mit Fokus auf deutsche Mobilfunknummern
Ein von den Sicherheitsforschern entdeckter exponierter Server gab Aufschluss über das potenzielle Ausmaß der Kampagne. Auf dem System befanden sich insgesamt 885.000 Telefonnummern, die offenbar als Zielvorgaben für die Angriffe dienten. Ein signifikanter Anteil dieser Daten betrifft den deutschen Markt: Rapid7 identifizierte 316.002 deutsche Mobilfunknummern in den Datensätzen.
Zudem konnten die Angreifer bereits eine Validierung der Daten vornehmen. Insgesamt wurden 43.066 Konten bei der Handelsplattform Crypto.com bestätigt, was einer Trefferquote von 13,6 Prozent entspricht.
Die technische Umsetzung der Kampagne stützte sich auf eine Kombination aus klassischen Phishing-E-Mails und Vishing – also telefonischem Phishing –, das über das Asterisk-System abgewickelt wurde. Die erbeuteten Informationen wurden anschließend über den Messengerdienst Telegram exfiltriert.
Wer sich mit den Gefahren durch Datenlecks und manipulierte Nachrichten befasst, sollte die neuesten technologischen Schutzmechanismen kennen. Erfahren Sie in diesem kostenlosen Leitfaden, wie eine neue Methode das klassische Passwort ablöst und Hackern keine Chance mehr lässt. Kostenlosen PDF-Ratgeber zur Konten-Sicherheit anfordern
Geringe Aktivität trotz professioneller Infrastruktur
Trotz der technologisch fortgeschrittenen Vorbereitung deuten die Aktivitätsprotokolle darauf hin, dass die Kampagne zum Zeitpunkt der Entdeckung noch keine breite Wirkung entfaltet hatte. In einem Zeitraum von zwei Wochen verzeichneten die Experten lediglich 20 Abfragen von potenziellen Opfern sowie den Versand von sechs Phishing-E-Mails. Ob die Angreifer bereits nennenswerte finanzielle Erfolge erzielen konnten, bleibt unbestätigt.
Rapid7 Labs hatte die Details zu der Kampagne bereits in einem Bericht Mitte August dargelegt. Die identifizierte Infrastruktur wurde nach Angaben des Unternehmens bereits an die zuständigen Strafverfolgungsbehörden sowie an Apple Security gemeldet, um die Verbreitung der schädlichen macOS-Applikationen zu unterbinden.
Der Fall unterstreicht die wachsende Herausforderung für Sicherheitsverantwortliche, da KI-gestützte Werkzeuge die Barrieren für die Erstellung hochgradig personalisierter und technisch komplexer Phishing-Kampagnen deutlich senken.
