(25.09.26) Eine Blockchain ist ein digitales Register, das auf vielen Computern gleichzeitig gespeichert wird. Bei Bitcoin hält es beispielsweise fest, welche Zahlungen stattgefunden haben. Einmal gespeicherte Informationen lassen sich kaum wieder entfernen. Genau diese Eigenschaft nutzen nach einer Untersuchung von Chainalysis inzwischen auch Cyberkriminelle.

Chainalysis ist ein US-amerikanisches Unternehmen, das Daten öffentlicher Blockchains auswertet. Es unterstützt damit unter anderem Ermittlungsbehörden und Finanzunternehmen bei der Untersuchung von Kryptokriminalität. Die Forscher haben sich angesehen, wie Angreifer Blockchains für die Steuerung von Schadsoftware verwenden. Schadsoftware ist ein Programm, das ohne Zustimmung des Nutzers beispielsweise Daten ausspäht oder einem Fremden Zugriff auf den Computer verschafft.

Für diese Methode verwendet Chainalysis den Namen Blockchain Dead Drops, kurz BDD. „Dead Drop“ kommt aus der Spionage und bezeichnet einen vereinbarten Ablageort: Jemand hinterlegt dort eine Nachricht, die ein anderer später abholt. Hier ist die Ablage digital. Der Angreifer speichert etwa einen Hinweis auf einer Blockchain. Ein bereits infiziertes Gerät weiß, wo es nachsehen muss, liest den Hinweis und findet so den Weg zum Angreifer.

Die Blockchain wird zum digitalen Wegweiser

Stellen Sie sich vor, ein Einbrecher könnte seinen Helfern eine neue Treffpunktadresse an einer Stelle hinterlassen, die niemand einfach entfernen kann. Genau darin liegt der Reiz für Cyberkriminelle. Wenn Sicherheitsfirmen eine schädliche Website sperren oder einen Angreifer-Server abschalten lassen, veröffentlicht der Täter eine neue Adresse. Die infizierten Geräte können sie anschließend aus dem Blockchain-Eintrag ablesen.

Ein Server ist dabei schlicht ein Computer, der über das Internet erreichbar ist. Er kann harmlose Dienste anbieten – oder im Fall eines Angriffs Befehle an infizierte Geräte senden. Für diese Steuerung verwenden Fachleute den Ausdruck Command and Control, abgekürzt C2: Der Angreifer gibt Anweisungen, und die Schadsoftware auf dem fremden Gerät empfängt sie.

Wichtig ist die genaue Rolle der Blockchain: Sie ist häufig Wegweiser und Ablageort für Anweisungen, nicht der Schauplatz des gesamten Angriffs. Der Diebstahl eines Passworts oder die Fernsteuerung des Computers findet meist über andere Internetverbindungen statt. Ein Blockchain-Eintrag kann aber dafür sorgen, dass die Schadsoftware den aktuellen Kontakt zum Angreifer immer wiederfindet.

Wie kommt die Schadsoftware auf das Gerät?

Ein Blockchain Dead Drop infiziert einen Computer nicht von allein. Zuerst muss der Angreifer sein Opfer dazu bringen, ein schädliches Programm auszuführen. Das kann über eine gefälschte Bewerbung, einen manipulierten Download oder eine täuschend echt gestaltete Nachricht geschehen. Erst nachdem die Schadsoftware auf dem Gerät läuft, kann sie den vereinbarten Ablageort auf der Blockchain abfragen.

Chainalysis beschreibt unter anderem einen Fall mit gefälschten Stellenangeboten für Krypto-Entwickler. Angebliche Personalvermittler brachten Bewerber dazu, schädliche Dateien herunterzuladen. Bei solchen Angriffen reicht es nicht, nur die Absenderadresse einer E-Mail zu prüfen: Ein professionell gestaltetes Profil und eine plausible Bewerbungsaufgabe können ebenfalls Teil der Täuschung sein.

Die Reihenfolge ist für Ihre Sicherheit entscheidend: Die Täuschung öffnet die Tür, die Blockchain hilft dem Angreifer danach bei der Steuerung. Wenn Ihnen jemand im Rahmen einer Bewerbung, einer Support-Anfrage oder eines angeblichen Updates eine Datei zum Ausführen schickt, prüfen Sie die Identität des Absenders über einen unabhängigen Weg. Rufen Sie beispielsweise die Organisation über eine selbst recherchierte Telefonnummer an, statt auf die Kontaktdaten in der Nachricht zu vertrauen.

Was bedeutet „EtherHiding“?

EtherHiding ist eine bekannte Variante der Blockchain Dead Drops. Dabei legen Angreifer Informationen in einem Smart Contract ab. Ein Smart Contract ist ein kleines Programm auf einer Blockchain. Er kann Daten speichern, die andere Programme später abrufen. Die Schadsoftware auf dem infizierten Gerät sieht dort nach und erfährt beispielsweise, welcher Angreifer-Server gerade erreichbar ist.

Der Name „EtherHiding“ kann in die Irre führen: Das Prinzip ist nicht auf die Kryptowährung Ether oder die Ethereum-Blockchain beschränkt. Chainalysis untersucht ähnliche Methoden auch auf anderen Netzwerken. Manche Täter nutzen Smart Contracts, andere verstecken Hinweise in den Zusatzdaten einer Blockchain-Transaktion. Eine Transaktion ist hier ein neuer Eintrag im digitalen Register; sie muss nicht dazu dienen, einen nennenswerten Geldbetrag zu übertragen.

In einem von Chainalysis untersuchten Fall nutzten Angreifer sogar mehrere Blockchains nacheinander. Fiel ein Weg aus, konnte die Schadsoftware über einen anderen nach weiteren Hinweisen suchen. Für die Täter macht das ihre Infrastruktur widerstandsfähiger. Für Leser genügt die einfache Vorstellung: Statt eine Telefonnummer fest im infizierten Programm zu hinterlegen, lässt der Angreifer das Programm regelmäßig in einem schwer entfernbaren öffentlichen Register nach der aktuellen Nummer suchen.

Wie groß ist das Problem?

Chainalysis berichtet, dass die von dem Unternehmen beobachtete BDD-Aktivität innerhalb von zwölf Monaten um 420 Prozent gestiegen ist. Seit dem Aufkommen leistungsfähiger, frei verfügbarer KI-Programmierwerkzeuge beziffert Chainalysis den Anstieg auf 440 Prozent. Diese Zahlen beziehen sich auf die von den Forschern erfasste Nutzung dieser speziellen Methode. Sie bedeuten nicht, dass sämtliche Cyberangriffe um 420 Prozent zugenommen haben.

Die Forscher beobachten entsprechende Aktivitäten inzwischen auf fünf großen Blockchains und bei mehr als einem Dutzend benannter Schadsoftware-Varianten. Chainalysis sieht darin auch einen Zusammenhang mit KI-Werkzeugen, die das Schreiben von Programmcode erleichtern. Die Schlussfolgerung lautet nicht, dass KI einen Angriff selbst ausführt. Sie lautet: Eine technisch anspruchsvolle Methode könnte für mehr Angreifer zugänglich werden.

Nach Angaben von Chainalysis nutzen sowohl gewöhnliche Cyberkriminelle als auch staatlich verbundene Gruppen solche Verfahren. Die Untersuchung nennt Aktivitäten mit Verbindungen zu Nordkorea sowie Hinweise auf Akteure aus dem Umfeld des iranischen Staates. Daneben beschreibt sie russischsprachige kriminelle Gruppen. Russischsprachig ist dabei eine Beschreibung der verwendeten Sprache und kein Beweis, dass der russische Staat hinter einer Gruppe steht.

Was können Sie konkret tun?

Die wichtigste Entwarnung zuerst: Schon die Nutzung von Bitcoin, einer Wallet oder einer Blockchain installiert keine Schadsoftware auf Ihrem Gerät. Eine Wallet ist eine Anwendung oder ein Gerät zur Verwaltung Ihrer Krypto-Zugänge. Das hier beschriebene Risiko beginnt typischerweise mit einer manipulierten Datei oder einem Programm, das Sie aus einer nicht geprüften Quelle ausführen.

Für Privatanleger sind deshalb einfache Gewohnheiten besonders wirksam: Laden Sie Wallet-Software nur über die selbst aufgerufene offizielle Website herunter. Installieren Sie keine „Sicherheitsupdates“ über Links aus E-Mails oder Direktnachrichten. Geben Sie Ihre Seed-Phrase – die Wörter zur Wiederherstellung einer Wallet – niemals auf einer Website ein, die Ihnen jemand zuschickt. Ein angeblicher Support-Mitarbeiter benötigt diese Wörter nicht.

Wenn Sie beruflich mit Kryptowährungen arbeiten, seien Sie bei Bewerbungsaufgaben, Testprogrammen und zugesandtem Code besonders vorsichtig. Ein seriös wirkender Kontakt kann trotzdem eine gefälschte Identität verwenden. Prüfen Sie die Person und das Unternehmen unabhängig voneinander. Trennen Sie nach Möglichkeit Arbeitsgeräte von Geräten, mit denen Sie größere Krypto-Bestände verwalten.

Was können Sicherheitsfirmen dagegen tun?

Für Unternehmen reicht es bei solchen Angriffen möglicherweise nicht, eine einzelne schädliche Internetadresse zu sperren. Infizierte Geräte könnten sich über die Blockchain die nächste Adresse holen. Deshalb müssen Sicherheitsverantwortliche auch untersuchen, welche Programme auf einem Gerät laufen und welche Verbindungen diese Programme aufbauen. Der Schutz beginnt weiterhin am Gerät selbst: Schädliche Dateien sollen erkannt und gestoppt werden, bevor sie Schaden anrichten.

Die Täter hinterlassen zugleich Spuren. Neue Blockchain-Einträge bleiben sichtbar und tragen einen Zeitpunkt. Fachleute können untersuchen, welche Adressen und Programme zusammenhängen. Die Beständigkeit der Blockchain hilft also beiden Seiten: Angreifern bei der Ablage ihrer Hinweise und Ermittlern bei der späteren Auswertung.

Mein Fazit: Die Blockchain als Briefkasten für Täter

Blockchain Dead Drops machen Schadsoftware schwerer abzuschalten, aber sie machen einen Angriff nicht unvermeidbar. Für Sie als Nutzer bleibt der wichtigste Schutz, unbekannte Programme nicht leichtfertig auszuführen und besonders bei angeblichem Support, Downloads und Bewerbungsaufgaben die Quelle unabhängig zu prüfen.

Die Blockchain ist in diesem Fall der Briefkasten der Täter. Damit dort eine Nachricht abgeholt wird, muss die Schadsoftware jedoch zuerst auf ein Gerät gelangen.

Mehr Hintergründe unter: www.markus-miller.com