Kryptowährungen unter Beschuss: Die drohende Gefahr von TONResolver und der Phishing-Industrie
Heute ist der 30.06.2026 und es gibt Neuigkeiten, die so frisch sind, dass man sie fast noch riechen kann. Die Welt der Kryptowährungen wird nicht nur von innovativen Technologien geprägt, sondern auch von dunklen Schattenseiten. Eine neue Malware, bekannt als TONResolver, hat sich auf die Partnerhotels von Booking.com eingeschlichen. Besonders betroffen sind Hotels in Japan – und das seit Ende Mai 2026. Die Hacker haben es sich zur Aufgabe gemacht, die TON-Blockchain als ihre Angriffsplattform zu nutzen. Klingt nach Science-Fiction? Ist aber Realität!
Die Schadsoftware, klassifiziert als TrojanSpy.JS.TONRESOLVER.A, nutzt die Smart Contracts der TON-Blockchain als eine Art „Dead Drop Resolver“. Das bedeutet, dass die Angreifer ihre Kommandos und Kontrollserverinformationen dort speichern können. Dynamische Serveradressenwechsel sind ebenfalls möglich, was die Malware besonders tricky macht. Mit Hilfe der TonAPI bleibt sie durchgehend mit der Infrastruktur der Angreifer verbunden. Der Zugang für die Hacker erfolgt über eine mehrstufige Infektionskette, die mit Phishing-Mails beginnt – geschickt verpackt in Mails, die oft über Gmail-Konten an Hotelmitarbeiter gesendet werden. Betreffzeilen wie „Wichtig: Anfrage zur Gästebewertung“ erzeugen sofortigen Druck und verleiten dazu, die Links in den Mails zu klicken.
Die ausgeklügelte Angriffsstruktur
Wenn das Opfer dann auf den Link klickt, wird eine ZIP-Datei heruntergeladen, die mit getarnten LNK-Dateien versehen ist. Das Öffnen dieser Datei aktiviert die Malware, die auf Node.js basiert. Diese Art von Schadsoftware ist nicht nur raffiniert, sondern auch gut geschützt: Sie verwendet AES-256-CBC-Verschlüsselung und ECDH-Schlüsselaustausch für die Datenübertragung. Das macht es für Sicherheitsbehörden extrem schwierig, die Daten zu entschlüsseln. Und damit nicht genug – die Angreifer haben legitime Dienste wie Calendly und Google-URL-Weiterleitungen ins Spiel gebracht, um Sicherheitsfilter zu umgehen. Man könnte sagen, sie betreiben eine Art „Authentifizierungs-Wäsche“!
Die Hauptziele dieser Angriffe? Der Diebstahl von Zugangsdaten. Die Node.js-Schadsoftware zielt direkt auf gespeicherte Browser-Zugangsdaten und kann sogar den lsass.exe-Prozess extrahieren. In den letzten Wochen gab es einen Anstieg der Angriffe auf echte Microsoft-Anmeldeseiten und PDF-Anhänge. Das Ganze geht Hand in Hand mit dem Trend von „Phishing-as-a-Service“-Plattformen, die Session-Token-Diebstahl und Split-Click-Techniken nutzen – ein wahrer Albtraum für Unternehmen!
Phishing als Industrie
Doch das ist nicht das Ende der Fahnenstange. Der Cyan Threat Report 2025 zeigt, dass Phishing sich zu einer komplexen Industrie entwickelt hat. Phishing-as-a-Service (PhaaS) ermöglicht den Verkauf von Phishing-Kits im Dark Web. Die Durchschnittskosten für eine Datenpanne stiegen im Jahr 2024 auf 4,9 Millionen Euro – ein Anstieg um 14% im Vergleich zum Vorjahr! Phishing ist die Hauptursache für Datenschutzverletzungen, und laut IBM’s „Cost of a Data Breach Report 2025“ machen diese Vorfälle 16% aller Vorfälle aus.
Die Methoden der Angreifer sind mittlerweile so professionell, dass sie sogar KI nutzen, um vertrauenswürdige Absender nachzuahmen. Phishing geschieht nicht mehr nur über E-Mails, sondern auch über SMS (Smishing) und Anrufe (Vishing). Und die Zahlen sind alarmierend: In den Niederlanden war 2024 mehr als jede vierte Person von Phishing betroffen! Die gefährdetsten Branchen? Technologie, soziale Medien und Online-Dienste, die alle im Kreuzfeuer stehen.
Die Warnungen sind deutlich. Unternehmen sollten nicht nur in fortschrittliche E-Mail-Filter investieren, sondern auch ihre Mitarbeiter schulen, um Phishing-Versuche zu erkennen und verdächtige Nachrichten zu melden. Ein vielschichtiger Ansatz zur Cyberabwehr ist entscheidend, um diese Bedrohungen zu minimieren. Es wird spannend sein zu beobachten, wie die Schlacht zwischen Cyberkriminellen und Sicherheitsbehörden weitergeht!