Über 150 gefälschte Mozilla-Erweiterungen – ein Backend und bezahlte Werbung

Die irreführende Darstellung

Eine Geschichte über „Über 150 gefälschte Mozilla-Erweiterungen“ Die mit einer angeblichen „russischen Spur“ in Verbindung stehende Geschichte wurde in den großen Krypto- und Sicherheitsmedien groß aufgegriffen. Es klingt dramatisch, doch unsere Analyse zeigt, dass diese Darstellung irreführend ist – und schlimmer noch, es schützt die wahren Täter.

Über 150 Erweiterungen von geringer Qualität auf einem einzigen Backend

Alle Erweiterungen in dieser Kampagne waren:

• Nicht einzigartig, in Copy-Paste-Qualität.
• Nur die Logos und Namen unterschieden sich.
• Alles verbunden mit einem ein einziges Backend.

Unsere Maßnahmen gegen diese Kampagne

Als ehrenamtliche Gruppe für Bedrohungsinformationen, die sich auf die Stilllegung von Phishing- und Betrugsinfrastrukturen spezialisiert hat, tun wir Folgendes:

• Berichte wurden direkt an Mozilla übermittelt, um auf schädliche Erweiterungen hinzuweisen.
• Weitergeleitet an Dort, in der um fachliche Unterstützung gebeten wird, um das Verbot voranzutreiben.
• Veröffentlichung eines Berichts auf Chainabuse zur Steigerung der Sichtbarkeit in der Community.
• Millionen leerer Seed-Phrasen wurden in das Backend der Angreifer eingeschleust, um die gestohlenen Daten zu verfälschen.

Warum es sich hierbei nicht um „russische“ Infrastruktur handelt

Russischsprachige Cyberkriminelle nutzen in der Regel:

• Verteilte Backends (Cloudflare Workers, Firebase, Amazon, kampagnenbezogene Links).
• Verschleierung und Redundanz zur Vermeidung von Single Points of Failure.

Stattdessen hat diese Kampagne gezeigt:

• A Nigerianischer Webhosting-Anbieter.
• Verwandte Domains, die mit Bankbetrug, gefälschten Krypto-Wallets und Betrugsmaschen bei Lieferungen in Verbindung stehen.
• Ein Telegram-Konto, das gestohlene Daten im Zusammenhang mit einem nigerianischer Betreiber.

Das Problem mit bezahlten Medien

Bezahlte Medienplatzierungen haben schwerwiegende Folgen:

1. Ein bezahlter Artikel wird in einem renommierten Medium veröffentlicht.
2. Hunderte kleinerer Websites, Blogs und Telegram-Kanäle geben den Inhalt wieder oder übersetzen ihn.
3. Innerhalb weniger Tage entwickelt sich daraus eine massive Falschmeldung, die den Anschein von Glaubwürdigkeit erweckt.

Beispiel: Angel Drainer

Alle großen Medien berichteten mit Schlagzeilen über „Angel Drainer wurde abgeschaltet, nachdem die Entwickler identifiziert worden waren.“ Aber stimmte das wirklich – oder handelte es sich nur um eine weitere bezahlte Platzierung, die so lange wiederholt wurde, bis sie glaubwürdig wirkte? Für Kriminelle ist der Kauf von Artikeln Kleingeld; für die Opfer verändert er alles.

Cybersicherheitsunternehmen, die ihre eigene PR betreiben

Cybersicherheitsunternehmen zahlen Zehntausende Dollar für Artikel über sich selbst, ihre Forschungsarbeit und ihre Wirkung. Dies wirft grundlegende Fragen auf:

• Warum muss ein seriöses Cybersicherheitsunternehmen für seine Berichterstattung bezahlen?
• Versuchen sie, die Spuren des wahren Hackers zu verwischen?
• Oder die Identität des Hackers für Erpressung oder Wettbewerbsvorteile ausnutzen?
• Geht es darum, Vertrauen zu stärken – oder die Wahrnehmung aus Profitgründen zu manipulieren?

Marktbeobachtungen

Diese Vorgehensweise ist kein Geheimnis:

• Auf Fiverr, Upwork und spezialisierten PR-Marktplätzen kann man „Gastbeiträge“ direkt kaufen.
• Anbieter senden Google-Tabellen mit Dutzenden von Händlern und Preisen – darunter auch bekannte Marken aus dem Bereich Cybersicherheit.
• Manche versprechen: „Gegen Aufpreis kein Sponsorenlogo.“

Zu den erklärten Zielen für den Kauf von Artikeln gehören:

• Linkaufbau (SEO).
• Traffic & Umsatz.
• Markenbekanntheit.
• Reputationsmanagement (Negativmeldungen ausblenden).
• Soziale Verifizierung.
• Verzeichnis der erforderlichen Unterlagen für Visumanträge.

Die genannten Kosten umfassen unter anderem 20.000 Dollar für bezahlte Interviewtermine bei großen Krypto-Medien.

Geschäft vs. Lügen

Die Veröffentlichung kostenpflichtiger Inhalte ist nicht illegal – das ist ganz normales Geschäft. Aber wenn es in den Bereich die Verbreitung falscher Behauptungen, die Irreführung von Ermittlungen und das Ausgeben von PR als Fakten, wird es Teil des Problems.

Fazit

PhishDestroy ist eine ehrenamtliche Initiative im Bereich Cybersicherheit, die weder bezahlt wird, noch Werbung verkauft oder Gewinne erzielt. Die Fakten sprechen für sich:

• Über 150 Mozilla-Erweiterungen, die auf ein einziges Backend bei einem nigerianischen Hosting-Anbieter geleitet werden.
• Die Daten wurden an einen nigerianischen Telegram-Account gesendet.
• Die Erzählung vom „russischen Faden“ ist frei erfunden.
• Die bezahlte Berichterstattung in den Medien verstärkte diese Erfindung, bis sie wie die Wahrheit wirkte.
• Selbst Cybersicherheitsunternehmen geben Geld für Eigenwerbung aus.

Haftungsausschluss

Wir beschuldigen weder Einzelpersonen noch Unternehmen oder Medien. Alle Fakten stammen aus öffentlich zugänglichen Quellen und lassen sich anhand öffentlicher Archive, Scans und Berichte überprüfen. Die eigentliche Frage lautet: Warum werden solche Darstellungen kontrolliert und verbreitet? Wem nützt es, wenn ein unbekanntes Sicherheitsunternehmen eine ungenaue Mega-Recherche veröffentlicht, die die Aufmerksamkeit von den tatsächlichen Akteuren ablenkt?