ESET-Forscher entdecken Spam E-Mails, welche sich die wachsende Popularität der Fußball-Weltmeisterschaft 2018 in den Medien zunutze machen wollen. Auch in Social Media Netzwerken und Messaging-Apps setzen Betrüger auf Social Engineering Angriffe, um Fußballfans um ihr Geld zu bringen.
Dieser Beitrag zeigt Beispiele von gefälschten Ticketverlosungen und Giveaway-Kampagnen, die Betrüger derzeit in Umlauf bringen.
Abbildung 1: Ein Beispiel einer gefälschten Ticketverlosung
Die E-Mail zeigt eine sehr einfache Version eines klassischen Tricks, den Betrüger immer wieder bei Großveranstaltungen wie beispielsweise der Fußball-Weltmeisterschaft einsetzen. Eine E-Mail informiert die Empfänger bzw. Opfer über einen angeblichen Gewinn in einer Ticketverlosung. Die Nachricht fordert dazu auf, mit dem Veranstalter der Verlosung in Kontakt zu treten. Die Kontaktdaten sind in der schlecht verfassten Mail eingebettet. Nur mit viel Wohlwollen könnte der Leser glauben, dass die Mail von der FIFA oder Google stammt.
In ähnlichen Szenarien versuchen die Betrüger die E-Mail-Empfänger dazu zu bringen, einen Anhang zu öffnen. Es handelt sich dabei hauptsächlich um PDF- oder Word-Dokumente. Darin erfahren die Opfer, um welchen Gewinn es sich handelt und bei wem sie den "Preis" abholen können.
Abbildung 2: Betrügerische Mail mit Anhang I
Abbildung 3: Betrügerische Mail mit Anhang II
Die E-Mails und Anhänge sind üblicherweise so formuliert, dass sie beim Leser Druck ausüben und auffordern innerhalb weniger Tage zu antworten, da sonst der "Preis" verfiele. Um den Schein der Echtheit aufrechtzuerhalten, verweisen die E-Mails auf viele offizielle, oder zumindest offiziell klingelnde Organisationen. Zum Teil verwenden die Betrüger legitim erscheinende Logos und/oder Siegel, die allerdings nichts anderes als einfache Darstellungen sind.
Abbildung 4: Eine betrügerische Gewinnbenachrichtigung
Die Kampagnen haben unabhängig vom Wortlaut und vom Aussehen – ob einfach oder raffiniert – dasselbe Ziel. Nachdem die Opfer brav geantwortet und ihre persönlichen Informationen übermittelt haben, wird es ernst. Nun folgt alles dem typischen Verlauf von Vorschussbetrug. Die angeblichen Gewinner sollen den Betrügern Geld überweisen, um den Preis auszulösen. Unter Umständen versuchen die Cyberkriminellen immer mehr Geld von den Opfern zu ergaunern – bis sie den Betrug merken.
Wer auf die ursprüngliche Scam-Mail antwortet, gibt den Betrügern die Bestätigung, dass die angeschriebene Adresse tatsächlich von einer echten Person benutzt wird – dabei müssen nicht einmal persönliche Informationen übermittelt worden sein. Allein eine Antwort reicht aus, um sich quasi selbst zu verraten. Dann dauert es nicht lange und die Mail-Adresse wird mit Spam-Nachrichten und anderen Bedrohungen bombardiert – entweder von derselben Gang oder von anderen, die eine Liste mit aktiven E-Mail-Konten im Dark Web illegal erworben haben.
Eine weitere bewährte Betrugsmasche ist das Versprechen von Reisen zur Fußball-Weltmeisterschaft. Hierbei gebe sich die Betrüger als FIFA-Partner aus. Abbildung 5 veranschaulicht beispielsweise, wie brasilianische Fußballfans ins Fadenkreuz der Cyberkriminellen geraten. Das VISA-Logo soll Glaubwürdigkeit verschaffen.
Abbildung 5: Betrugsmasche erreicht brasilianische Fußballfans
Hier versuchen die Betrüger ihre Opfer an der Teilnahme an einem Wettbewerb um eine All Inclusive Reise für zwei Personen nach Russland zu bewegen. Für eine Qualifizierung soll der E-Mail-Empfänger bloß eine Registrierung und einen kleinen Kauf abschließen. Die Erfahrungen zeigen, dass schon das Vorhandensein eines missbräuchlich verwendeten offiziellen Logos ausreicht, damit Personen ihre Daten herausgeben. Anfang der Woche waren brasilianische WhatsApp Nutzer bereits Ziel einer ähnlichen Kampagne.
Der ESET-Sicherheitsforscher Miguel Ángel Mendoza bemerkt dazu: „Fallen lauern beim Verkauf von gefälschten Ticktes, bei falschen Nachrichten oder bei bösartigen Webseiten. Alle stellen ein Tor für Malware und andere Bedrohungen dar. Ein Betrug durch Phishing ist ebenfalls üblich.“
Wenn die Betrüger die Opfer dazu bringen, ihre persönlichen Daten an Phishing-Seiten herauszugeben, kann ein Angreifer Nachrichten mit schädlichen Links senden. Ein Klick darauf würde zu Webseiten führen, die Einnahmen durch schädliche Werbung generieren oder die Malware über Drive-by-Downloads verbreiten.
Bei der letztgenannten Technik können die Computer der User durch den Besuch einer solchen Webseite kompromittiert werden. Hier wird ein Softwarefehler im Browser oder in Plugins von der in der Webseite eingebetteten Malware ausgenutzt. Das ermöglicht den Cyberkriminellen neben anderen Auswirkungen, beispielsweise den Diebstahl von persönlichen Login-Daten oder den Anschluss des Computers an ein Botnet.
ESET-Forschen fanden darüber hinaus fragwürdige Domain-Registrierungen. Viele sind momentan nicht in Benutzung oder sind bei kostengünstigen Hosting-Diensten geparkt. Andere scheinen wiederum nur auf ihren fragwürdigen Einsatz zu warten.
Die Bedeutung von Social Engineering Taktiken von Betrügern dürfen die Computer-User nicht unterschätzen, sagt der Leiter für ESET Awareness & Research in Lateinamerika Camilo Gutiérrez. "Je gebildeter wir als Nutzer sind, desto weniger erfolgreich werden die Betrugsmaschen der Angreifer."
Die obigen Abbildungen sind nur Beispiele dafür, wie Fußballfans getäuscht werden – erst sollen sie ihre persönlichen Daten preisgeben und dann Geld vorstrecken. Die nahende Fußball-Weltmeisterschaft läutet für die Betrüger die Hochsaison ihrer Machenschaften ein. Wir raten unserer Leserschaft auf dem Laufenden zu bleiben, damit sie nicht ins "Abseits" geraten.
