Gefälschte Kryptokonferenz: Wie ein Google Doc zur Malware-Falle wurde

Die Kampagne setzte auf eine Kombination aus vertrautem Branchenumfeld und bekannten Onlinediensten. Das X-Konto @HartmansDoeke behauptete, CoinDesk zu vertreten, und nahm Personen ins Visier, die mit Black Hat und DEF CON in Verbindung standen. Teilweise begann die Kontaktaufnahme mit öffentlichen Antworten, bevor der Austausch in Direktnachrichten verlagert wurde. Anschließend schlug der Angreifer eine angeblich von CoinDesk organisierte Kryptokonferenz vor und teilte ein Google Doc als vermeintliches Planungsdokument. 1411

Entscheidend ist: Das Google-Dokument selbst konnte durchaus echt wirken. Das schädliche Verhalten entstand durch eine eingebettete Oberfläche auf Basis von Google Apps Script und durch die darüber ausgegebenen Anweisungen. Die vorliegenden Berichte beschreiben eine versuchte Zustellung von Malware – sie belegen nicht, dass der Huntress-Forscher oder andere Ziele die Schadsoftware tatsächlich installiert haben. 468

So funktionierte die Täuschung

Die ersten Nachrichten nutzten den Konferenzkontext als Abkürzung zum Vertrauensaufbau. Der Identitätsfälscher fragte in fehlerhaftem Englisch, ob der jeweilige Forscher an einer weiteren Veranstaltung teilnehmen wolle, und stellte danach eine angeblich von einem bekannten Krypto-Nachrichtenanbieter veranstaltete Konferenz vor. Öffentliche Antworten halfen offenbar dabei, mögliche Teilnehmer zu identifizieren oder anzusprechen. Die Direktnachrichten schufen anschließend einen privaten Kommunikationskanal für die nächsten Schritte. 4510

Sobald Interesse bestand, verschickte der Akteur ein Dokument, das wie eine Datei zur Konferenzplanung aussah. Zusammen mit dem Link kam über X ein angeblicher „Verschlüsselungs-“ beziehungsweise Entschlüsselungsschlüssel. Dadurch wirkte der Austausch eher wie eine normale Veranstaltungsorganisation als wie ein klassischer Phishing-Versuch. 68

Die Falle in Google Docs

Öffnete ein bei Google angemeldeter Nutzer die Datei, erschien neben dem Dokument eine individuell gestaltete Seitenleiste. Laut Huntress erweckte sie den Eindruck, Teile des Dokuments seien verschlüsselt, und forderte zur Eingabe des zuvor im Chat übermittelten Schlüssels auf. Der Schlüssel schien nicht zu funktionieren – ein Vorwand, um das Opfer zu den nächsten, von der Seitenleiste vorgeschlagenen Schritten zu bewegen. 68

Zu diesen Optionen gehörten ClickFix-ähnliche Anweisungen sowie ein Download. Beide Wege sollten die Zielperson dazu bringen, Schadcode herunterzuladen und auszuführen. Das Dokument war also nicht bloß ein Link auf eine verdächtige externe Website: Echtes Google-Hosting und eine vertraut wirkende Docs-Oberfläche sollten den gesamten Ablauf glaubwürdig erscheinen lassen. 48

Genau darin liegt die zentrale Lehre der Kampagne. Eine echte Adresse unter google.com oder ein Dokument, das innerhalb eines bekannten Produktivitätsdienstes geöffnet wird, bestätigt zwar, wo Inhalte gehostet werden. Es beweist aber nicht, dass das Dokument, ein darin ausgeführtes Skript, die angezeigten Anweisungen oder angebotene Downloads sicher sind.

Welche Schadsoftware im Spiel war

Die berichteten Zustellungswege unterschieden sich je nach Betriebssystem:

• macOS: Ziel war Atomic macOS Stealer, kurz AMOS, ein Informationsdiebstahlprogramm. Der macOS-Angriffsweg war Berichten zufolge außerdem mit einer gefälschten Dropbox-DocSend-Freigabe und einem manipulierten Installationsprogramm verbunden. 2
• Windows: Zum Einsatz kam NetSupport RAT. Dabei handelt es sich ursprünglich um ein legitimes Fernwartungs- und Remote-Desktop-Produkt, das für den Einsatz als Remote-Access-Trojaner missbraucht wurde. 2
• Kryptowährungsziele: Forschende identifizierten außerdem ein gefälschtes Ledger-Wallet-Installationsprogramm beziehungsweise Implantat. Das deutet darauf hin, dass auch Zugangsdaten und Informationen zu Kryptowährungs-Wallets zu den mutmaßlichen Zielen gehörten. 2

Die verfügbare Evidenz beschreibt beabsichtigte Schadsoftware und Zustellungsmechanismen, nicht eine bestätigte Kompromittierung des Huntress-Forschers, der die Kampagne untersuchte.

Wie Huntress den Köder analysierte

Der angegriffene Huntress-Forscher erkannte den Ansatz als verdächtig, setzte die Kommunikation jedoch scheinbar kooperativ fort. So konnte Huntress die Nachrichten des Akteurs beobachten, das Dokument erhalten und nachvollziehen, wie die gefälschte Verschlüsselungsabfrage schließlich zur Ausführung von Malware führen sollte. Der Forscher installierte die Schadsoftware nicht. 1411

Dadurch entstand ein ungewöhnlich vollständiges Bild der Angriffskette. Die Untersuchung blieb nicht bei der ersten verdächtigen Nachricht stehen, sondern verband die behauptete X-Identität, den Vorwand der Konferenz, das Google Doc, die Apps-Script-Seitenleiste, die gefälschte Schlüsselabfrage und die je nach Betriebssystem unterschiedlichen Malware-Pfade.

Was Sicherheitsteams daraus lernen sollten

Die Kampagne zeigt, warum auch konferenzbezogene Kontaktaufnahmen mit derselben Vorsicht geprüft werden müssen wie Phishing per E-Mail – selbst wenn sie über eine öffentliche Social-Media-Plattform kommen und einen legitimen Cloud-Dienst nutzen.

Typische Warnsignale sind:

• eine unerwartete Nachricht von einem Konto, das sich als Veranstalter, Medienunternehmen oder Sponsor ausgibt;
• der Versuch, eine öffentliche Antwort in Direktnachrichten zu verlagern, bevor die Identität unabhängig bestätigt wurde;
• ein Dokument, das nach einem Schlüssel, Passwort oder „Entschlüsselungsschritt“ fragt, der separat im Chat übermittelt wurde;
• ein Google Doc, das über eine eigene Seitenleiste oder ungewöhnliche interaktive Abfrage zum Herunterladen von Software oder zum Einfügen von Befehlen auffordert; sowie
• ein Wallet, ein Fernwartungsprogramm oder ein Konferenz-Tool, das außerhalb unabhängig bestätigter Organisationskanäle angeboten wird.

Wer den Anweisungen bereits gefolgt ist, sollte das betroffene System isolieren, möglicherweise offengelegte Zugangsdaten zurücksetzen, Geheimnisse und Tokens rotieren und Kryptowährungs-Wallets sowie andere sensible Konten überprüfen. 1819

Was die Berichte bestätigen – und was offenbleibt

Die vorliegenden Berichte stützen die wesentlichen Abläufe: die Identitätsfälschung auf X, öffentliche Antworten und Direktnachrichten, den Vorwand einer nicht existierenden Kryptokonferenz, ein mit Google Apps Script erweitertes Google Doc, den separat übermittelten falschen Entschlüsselungsschlüssel, ClickFix-ähnliche Folgeanweisungen sowie den versuchten Einsatz von Malware gegen macOS- und Windows-Systeme. 1246811

Eine verifizierte Stellungnahme des mutmaßlichen Angreifers oder von Google liegt in den bereitgestellten Quellen nicht vor. Ebenso reichen die Belege nicht für einen konkreten Vergleich mit namentlich genannten, staatlich verbundenen Kampagnen aus. Auf einer allgemeinen Ebene folgt der Vorfall einem bekannten Muster: Sicherheitsfachleute werden mit maßgeschneiderten beruflichen Vorwänden angesprochen. Besonders ist hier jedoch die Nutzung vertrauenswürdiger, bei Google gehosteter Inhalte und einer Apps-Script-Oberfläche als Teil der Malware-Zustellung.