ShinyHunters-Lecks befeuern 2000-Dollar-Sextortion-Betrug

Was ist passiert

Die Cybersicherheitswelt ist in Aufruhr wegen einer neuen Betrugskampagne, die den Namen der berüchtigten Gruppe ShinyHunters ausnutzt, die für ihre groß angelegten Datenlecks bekannt ist. Bedrohungsakteure versenden massenhaft Sextortion-E-Mails an Personen, deren E-Mail-Adressen in Unternehmensdatenbanken offengelegt wurden, die zuvor von ShinyHunters geleakt wurden. Bei diesem als "Sextortion" bekannten Schema werden die Opfer aufgefordert, 2.000 US-Dollar in Bitcoin zu zahlen. Der auffälligste Aspekt der Kampagne ist, wie die Betrüger versuchen, ihre Drohungen glaubwürdiger zu machen, indem sie das spezifische Datenleck erwähnen, aus dem die E-Mail-Adresse des Opfers stammt.

In den E-Mails behaupten die Angreifer, die sich als "ShinyHunters-Hacking-Gruppe" ausgeben, vor einigen Monaten Zugriff auf die Geräte des Opfers erlangt zu haben und seitdem alle ihre Online-Aktivitäten zu überwachen. Diese Behauptungen sind jedoch nichts weiter als ein Bluff, der auf Social-Engineering-Taktiken basiert. Untersuchungen von BleepingComputer und direkte Anfragen an die ShinyHunters-Gruppe haben ergeben, dass die Gruppe selbst nicht hinter dieser Kampagne steckt. Die echte ShinyHunters-Gruppe hat jegliche Beteiligung an diesen Sextortion-E-Mails entschieden zurückgewiesen. Diese Situation verdeutlicht einmal mehr, wie geleakte Daten von verschiedenen kriminellen Gruppen wiederverwendet werden können und eine ständige Bedrohung für unschuldige Benutzer darstellen. Indem sie sich hinter einem großen Namen verstecken und Informationen präsentieren, die für das Opfer spezifisch erscheinen, zielen die Angreifer darauf ab, Panik zu erzeugen und durch diese Panik finanziellen Gewinn zu erzielen.

Welche Daten wurden kompromittiert

Bei dieser Betrugskampagne handelt es sich nicht um ein neues Datenleck. Die Angreifer verwenden Informationen wieder, die aus Datenlecks stammen, die zuvor von ShinyHunters durchgeführt und veröffentlicht wurden. Der primäre Datentyp, auf den abgezielt wird, sind die E-Mail-Adressen der Benutzer. Es wurde festgestellt, dass die Angreifer diese E-Mails verwenden, um ihre Drohungen zu personalisieren und einen Anschein von Legitimität zu erzeugen. Das Wissen, aus welchem Unternehmensleck die E-Mail-Adresse des Opfers stammt, verstärkt den Eindruck, dass die Bedrohung real ist.

Laut der Analyse von BleepingComputer stammen die in dieser Kampagne verwendeten E-Mail-Adressen aus den folgenden bekannten Datenlecks:

• Amtrak
• Hallmark
• Substack
• Betterment
• CarGurus
• ADT
• Panera Bread
• McGraw Hill

In ihren E-Mails erwähnen die Angreifer explizit eines dieser Unternehmen und verwenden Phrasen wie: "Wir haben Zugriff auf die Datenbank von Cargurus.com erlangt, wo Sie ein Konto haben, und konnten leicht auf Ihre E-Mail zugreifen." Wenn das Opfer in der Vergangenheit tatsächlich eine Beziehung zu einem dieser Unternehmen hatte, erhöht dies die Wahrscheinlichkeit, dass die Drohung ernst genommen wird. Es wird jedoch deutlich, dass die kompromittierten Daten auf E-Mail-Adressen und möglicherweise den Namen des zugehörigen Unternehmens beschränkt sind, während Behauptungen über den Zugriff auf Geräte völlig falsch sind.

Wie ist der Angriff abgelaufen

Diese Kampagne ist ein Social-Engineering-Angriff, der auf psychologischer Manipulation statt auf einem technischen Hack basiert. Die von den Angreifern verfolgten Schritte sind recht einfach, bauen aber auf einem effektiven Angstmechanismus auf.

1. Datensammlung: Die Angreifer laden zunächst die riesigen Datensätze herunter, die zuvor von ShinyHunters geleakt und oft in verschiedenen Foren oder im Dark Web geteilt wurden. Diese Datensätze enthalten persönliche Informationen wie die E-Mail-Adressen von Millionen von Benutzern.

2. Zielauswahl: Die E-Mail-Adressen in diesen Datensätzen bilden die Liste der potenziellen Opfer für die Kampagne. Die Angreifer bereiten mit diesen Listen einen Massen-E-Mail-Versand vor.

3. Erstellen der Droh-E-Mail: Um die Glaubwürdigkeit zu erhöhen, erstellen die Betrüger eine E-Mail-Vorlage, in der sie sich als ShinyHunters vorstellen. Der Inhalt der E-Mail ist so gestaltet, dass er das Opfer schockiert und rationales Denken verhindert. Die Behauptungen umfassen:

• Der Zugriff auf die Geräte des Opfers (Telefon und Computer) wurde vor mehreren Monaten erlangt.
• Dieser Zugriff wurde durch das Datenleck eines genannten Unternehmens (z. B. CarGurus) ermöglicht, bei dem das Opfer ein Konto hatte.
• Ein "Exploit" wurde auf den Geräten installiert, der ihnen Zugriff auf Mikrofon, Kamera, Tastatur und alle Daten verschafft.
• Die Fotos, der Browserverlauf, die Konversationen und die Kontaktliste des Opfers wurden kompromittiert.
• Am wichtigsten ist die Drohung, dass das Opfer heimlich über seine Kamera beim Besuch von Erwachsenen-Websites aufgezeichnet wurde und diese Videos an alle seine Kontakte weitergegeben werden.

4. Personalisierung und Versand: Die E-Mail wird personalisiert, um den Namen des spezifischen Unternehmens zu enthalten, aus dessen Datenleck die E-Mail-Adresse des Opfers stammt. Dieses kleine Detail lässt das Opfer glauben, dass die E-Mail keine gewöhnliche Spam-Nachricht ist, und versetzt es in Panik. Die E-Mails werden mit irreführenden Absendernamen wie "ShinyHunters" oder "You've Been HACKED" und allgemeinen Betreffzeilen wie "Informationen zu Ihrer Online-Sicherheit" versendet.

Es muss jedoch noch einmal betont werden, dass es keine Beweise für diese Behauptungen gibt. Es gibt keine Anzeichen dafür, dass die Geräte der Opfer kompromittiert, Malware installiert oder ihre Kameras überwacht wurden. Dies ist ein Erpressungsversuch, der vollständig auf einem Bluff basiert.

Wer ist betroffen

Die direkten Ziele dieser Erpressungskampagne sind einzelne Benutzer, deren E-Mail-Adressen bei früheren Datenlecks der oben aufgeführten Unternehmen wie Amtrak, Hallmark und Panera Bread offengelegt wurden. Daher laufen ehemalige oder aktuelle Kunden dieser Unternehmen Gefahr, diese betrügerischen E-Mails zu erhalten. Der Angriff zielt nicht auf die aktuellen Systeme der Unternehmen, sondern auf die Endbenutzer, deren Daten aufgrund von Lecks bereits öffentlich sind. Wenn ein Benutzer in der Vergangenheit ein Konto bei einem dieser Unternehmen hatte und seine Kontoinformationen Teil eines Lecks waren, wird er zu einem potenziellen Opfer. BleepingComputer hat bestätigt, dass einige der anvisierten E-Mail-Adressen tatsächlich in den entsprechenden ShinyHunters-Lecks vorhanden waren, was zeigt, dass die Angreifer nicht zufällig zielen, sondern mit spezifischen Datensätzen arbeiten.

Was Sie tun können

Wenn Sie eine solche E-Mail erhalten, ist es entscheidend, ruhig zu bleiben und die richtigen Schritte zu unternehmen. Hier ist, was Sie tun sollten:

• Zahlen Sie auf keinen Fall: Dies ist die wichtigste Regel. Die Angreifer haben kein Video oder keine Daten, wie sie behaupten. Es ist ein Bluff. Wenn Sie zahlen, zeigen Sie ihnen nur, dass ihre Forderungen funktionieren, und machen Sie zu einem attraktiveren Ziel für zukünftige Betrügereien.
• Antworten Sie nicht auf die E-Mail: Treten Sie in keine Kommunikation mit den Angreifern. Eine Antwort bestätigt, dass Ihre E-Mail-Adresse aktiv ist, und kann zu weiterer Belästigung führen.
• Als Spam markieren und löschen: Markieren Sie die E-Mail sofort als Spam oder Junk. Dies hilft Ihrem E-Mail-Anbieter, ähnliche E-Mails in Zukunft zu filtern. Löschen Sie die Nachricht anschließend endgültig.
• Überprüfen Sie Ihre Kontosicherheit: Dieser Vorfall ist eine weitere Erinnerung an die Bedeutung der digitalen Hygiene. Sie können vertrauenswürdige Dienste wie "Have I Been Pwned" nutzen, um zu überprüfen, ob Ihre E-Mail-Adresse Teil früherer Lecks war. Verwenden Sie starke, einzigartige Passwörter für alle Ihre wichtigen Konten. Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA), wo immer dies möglich ist.
• Keine Panik: Denken Sie daran, dass diese Art von Betrug darauf abzielt, Angst und Scham auszunutzen. Das Ziel der Angreifer ist es, Sie zu einer irrationalen Entscheidung zu zwingen. Behandeln Sie die Situation mit dem Wissen, dass die Behauptungen falsch sind.

Was sagt das Unternehmen

Es gab noch keine Erklärungen von den Unternehmen, deren Daten kompromittiert wurden und deren Namen in der Kampagne verwendet werden (wie Amtrak, CarGurus usw.). Eine klare Antwort kam jedoch von der ShinyHunters-Gruppe, deren Name ausgenutzt wird. Vertreter von ShinyHunters, die von BleepingComputer direkt kontaktiert wurden, gaben an, dass sie an dieser Sextortion-Kampagne nicht beteiligt sind. Sie deuteten an, dass solche individuellen und klein angelegten Betrügereien nicht ihrem Operationsstil entsprechen. Dieses Dementi bestätigt, dass der Vorfall von Drittkriminellen durchgeführt wird, die den von ShinyHunters geschaffenen schlechten Ruf zu ihrem eigenen Vorteil nutzen. Es war bereits ein unerwartetes Szenario, dass eine Gruppe, die für groß angelegte Aktionen wie Unternehmenserpressung und Datenverkauf bekannt ist, an dieser Art von Massen-E-Mail-Betrug beteiligt sein sollte.

Quelle

https://www.bleepingcomputer.com/news/security/shinyhunters-data-leaks-fuel-2-000-sextortion-email-scam/