Ein Angreifer verschaffte sich Zugang zu einer E-Mail-Marketing-Plattform und startete gezielte Angriffe gegen die Newsletter-Abonnenten einiger Kunden, insbesondere solcher, die im Bereich Kryptowährungen und verwandten Gebieten tätig sind.
Bei dem Vorfall handelte es sich um eine Phishing-Kampagne in der Lieferkette, die über Brevo, einen E-Mail-Marketing-Anbieter, der von mehreren Kryptowährungsunternehmen und anderen Firmen genutzt wird, durchgeführt wurde.
Brevo teilte zunächst mit, ein Angreifer habe sich Zugang zu 120 Kundenkonten verschafft, von denen einige genutzt wurden, um Phishing-E-Mails an die Kontaktlisten der Kunden zu versenden.
Brevo gab später bekannt, dass im Rahmen der Untersuchung nach dem Zusammenbruch des Unternehmens auf 138 Kundenkonten zugegriffen worden sei:
„Am 10. September um 6:30 Uhr UTC haben wir eine Sicherheitslücke entdeckt, durch die ein Angreifer eine Schwachstelle in der Art und Weise, wie Brevo SAML-SSO handhabt, ausnutzte, um Zugriff auf 138 Brevo-Konten zu erlangen. Sechs dieser Konten wurden verwendet, um Phishing-E-Mails an die dort gespeicherten Kontakte zu versenden, und bei 43 Konten wurden die Kontakte exportiert. Bei 93 Konten wurden keine relevanten Aktivitäten festgestellt.“
Berichten zufolge bestätigten die bekannten Kryptowährungsunternehmen Trezor, CoinTracking und BitBox , dass Phishing-E-Mails an ihre Newsletter-Abonnenten verschickt wurden. Trezor warnte seine rund 347.000 Newsletter-Abonnenten vor einer massiven Phishing-Kampagne, die durch einen Sicherheitsvorfall bei einem Drittanbieter ausgelöst wurde.
Trezor stellt Hardware-Wallets her, die private Schlüssel von Kryptowährungen offline speichern. Kunden des Unternehmens erhielten eine Phishing-E-Mail mit dem Titel „ Kritische Sicherheitswarnung: STM32-Entropiefehler identifiziert “.
Die Unterüberschrift lautete: „Dringendes Update bezüglich einer Sicherheitslücke in einem Hardware-Mikrocontroller.“
In der E-Mail hieß es:
"Lieber Kunde,
Wir haben leider schlechte Nachrichten. Unser Entwicklungsteam hat eine kritische Sicherheitslücke auf Hardwareebene in den STM32-Mikrocontrollern entdeckt, die in verschiedenen Trezor-Geräten verwendet werden.
Aktuell gehen wir davon aus, dass die meisten defekten Geräte vor 2023 initialisiert wurden. Allerdings könnten auch einige neuere Geräte betroffen sein. Es handelt sich um einen Hardwarefehler, der schätzungsweise bei jedem vierten Gerät auftritt.
Die Schwachstelle führt zu Folgendem:
- Unzureichende Zufälligkeit bei der Generierung von Wiederherstellungsphrasen
- Einwirkung von Gewalteinwirkung auf Samen
- Samen mit nur 40 Bit Entropie“
Die Phishing-E-Mail enthielt außerdem einen Link, der die Empfänger dazu aufforderte, eine App herunterzuladen und ihre Wallet-Backup-Daten einzugeben.
CoinTracking teilte mit, dass die Angreifer ihren Kunden eine E-Mail mit dem Titel „ Datenschutzhinweis: Bitte aktualisieren Sie Ihre API-Schlüssel so schnell wie möglich “ geschickt hätten, die auch einen schädlichen Link enthielt.
Da die E-Mails von offiziellen Firmendomains stammten und überzeugend aussahen, sind möglicherweise einige Empfänger darauf hereingefallen. Die genaue Zahl ist derzeit nicht bekannt.
Wie man sicher bleibt
Es kann schwierig sein, eine Phishing-E-Mail zu erkennen, wenn sie von einer legitimen Firmendomain stammt und überzeugend aussieht. Es gibt jedoch ein paar Dinge zu beachten:
- Wenn Sie von einem Unternehmen eine E-Mail über ein dringendes Sicherheitsproblem erhalten, überprüfen Sie zur Bestätigung die offizielle Website oder App des Unternehmens.
- Installieren Sie keine Apps über Links in unerwünschten E-Mails, egal wie dringend die Nachricht auch erscheinen mag.
- Geben Sie Ihre Wiederherstellungsphrase niemals woanders als auf Ihrem physischen Gerät ein.
- Seriöse Unternehmen fragen niemals per E-Mail nach Wiederherstellungsphrasen, API-Schlüsseln oder Anmeldedaten.
- Mit Malwarebytes Scam Guard können Sie überprüfen, ob eine Nachricht möglicherweise ein Betrugsversuch ist, und erhalten Hinweise zum weiteren Vorgehen.
- Halten Sie Ausschau nach weiteren Informationen zu anderen betroffenen Brevo-Kunden. Die Angreifer exportierten Kontakte aus 43 Konten, die für zukünftige gezielte Phishing-Angriffe missbraucht werden könnten.
Was tun, wenn Sie dem Link gefolgt sind?
Trezor empfiehlt, Ihre Guthaben in eine neue Wallet zu übertragen, falls Sie Ihre Wallet-Sicherung in irgendeiner Form angegeben haben. Wenn Sie einem Link in einer ähnlichen E-Mail eines anderen Anbieters gefolgt sind, wenden Sie sich bitte direkt an dieses Unternehmen, um Rat einzuholen.
Stimmt da etwas nicht? Überprüfen Sie es, bevor Sie klicken.
Mit Malwarebytes Guardkönnen Sie verdächtige Links, Texte und Screenshots sofort überprüfen.
Erhältlich mitMalwarebytes Premium für alle Ihre Geräte sowie in derMalwarebytes für iOS Android.
