Hackergruppe klaut Kryptowährungen über Fake-NFT-Game

Die Hackergruppe Lazarus hat eine Zero-Day-Schwachstelle in Google Chrome ausgenutzt. Wie Kaspersky mitteilt, nutzten die Angreifer eine aufwendig gefälschte Version eines NFT-Games, um Kryptowährungen zu stehlen. Die Malware Manuscript, die bereits seit 2013 von Lazarus eingesetzt werde, habe dabei eine zentrale Rolle gespielt.

Die Kaspersky-Analysten entdeckten den Angriff im Mai 2024 bei der Analyse von Telemetriedaten. Die Angreifer nutzten unter anderem die Schwachstelle mit der Kennung CVE-2024-4947 in der V8-Engine von Google Chrome, um beliebigen Code auszuführen und Sicherheitsmechanismen zu umgehen. Eine zweite Schwachstelle ermöglichte es, den Sandbox-Schutz von V8 zu überwinden.

Für ihre Kampagne erstellten die Angreifer eine täuschend echte Webseite eines NFT-Spiels, in dem Gamerinnen und Gamer mit Panzern gegeneinander antreten und nach dem Play-to-Earn-Prinzip Geld verdienen können. Die Lazarus-Gruppe bewarb das Spiel monatelang auf Social-Media-Plattformen wie X (ehemals Twitter) und Linkedin, auch mithilfe von KI-generierten Bildern, wie Kaspersky ausführt.

Game-Entwickler und Krypto-Influencer bestohlen

Selbst die Entwickler des Original-Spiels wurden Opfer der Attacke. Um die Illusion möglichst perfekt zu halten, entwickelten die Angreifer das gefälschte Game mit dem gestohlenen Original-Quellcode. Logos sowie Referenzen seien jedoch geändert worden. Aus den Wallets der Spiele-Entwickler verschwanden nach Beginn der Lazarus-Kampagne Kryptowährungen im Wert von 20’000 US-Dollar.

Zudem seien auch Krypto-Influencer für die Kampagne instrumentalisiert worden, schreibt Kaspersky weiter. Die Lazarus-Gruppe nutzte deren Präsenz auf Social Media zur Verbreitung ihres gefälschten Spiels; auch deren Krypto-Wallets wurden attackiert.

Google habe die Sicherheitslücke inzwischen behoben, nachdem Kaspersky den Suchmaschinisten darauf aufmerksam gemacht habe, heisst es in der Mitteilung weiter. 

Übrigens: Die Malware "Poseidon Stealer", die sich im vergangenen Juni in der Deutschschweiz verbreitete, hat es auf Schweizer macOS-User und ihre Kryptos abgesehen. Mehr dazu lesen Sie hier.  

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.