Sicherheitsforscher von Infoblox haben über 236.000 Second-Level-Domains identifiziert, die auf einer Scam-Infrastruktur basieren, die mit dem legitimen Uni-App-Framework (DCloud) entwickelt wurde. Kriminelle verkaufen fertige Scam-Templates für Krypto-Fakes, Wallet-Drainer, Pig Butchering, Phishing und Markenfälschungen. Seit Oktober 2024 kommen rund 15.000 neue Betrugsseiten pro Monat hinzu.
Cyberkriminelle industrialisieren Online-Betrug mit legitimer Software
Cyberkriminelle setzen zunehmend auf professionelle Entwicklungswerkzeuge, um ihre Betrugsplattformen in bisher ungekanntem Umfang auszurollen. Sicherheitsforscher von Infoblox haben jetzt aufgedeckt, dass mehr als 236.000 Second-Level-Domains auf einer Infrastruktur basieren, die mit dem legitimen Uni-App-Framework von DCloud entwickelt wurde.
Was ist Uni-App?
Uni-App ist ein in China weit verbreitetes Open-Source-Framework, mit dem Entwickler eine einzige Vue.js-Codebasis erstellen können. Daraus lassen sich gleichzeitig generieren:
Das Framework wird von tausenden legitimen Unternehmen eingesetzt und genießt in der chinesischen Entwickler-Community eine hohe Verbreitung. Hinweise darauf, dass der Hersteller DCloud selbst an den Betrugsaktivitäten beteiligt ist, gibt es derzeit nicht. Das Problem entsteht erst dadurch, dass Cyberkriminelle fertige Scam-Templates auf Basis dieser Plattform entwickeln und weiterverkaufen.
Mehr als 236.000 Domains identifiziert
Nach Angaben von Infoblox konnten bislang über 236.000 Second-Level-Domains identifiziert werden, die zu dieser Scam-Infrastruktur gehören. Die Webseiten decken dabei unterschiedlichste Betrugsformen ab:
Die enorme Anzahl zeigt, dass hier kein einzelner Täter aktiv ist, sondern ein ganzes Ökosystem professioneller Betrüger.
Infografik: Der typische 6-Schritt-Ablauf der Uni-App-Scam-Industrie – vom Template-Kauf bis zur Auszahlung.
Betrugs-Seiten in Massen – Schritt für Schritt
Auffällige Gemeinsamkeiten: koordinierte Infrastruktur
Die Sicherheitsforscher beobachteten nicht nur identische technische Merkmale. Auch bei den Registrierungen neuer Domains fielen koordinierte Muster auf.
Zeitgleich auftretende Einbrüche bei Domainregistrierungen auf verschiedenen Hosting-Plattformen deuten darauf hin, dass zahlreiche Betrugsseiten zentral verwaltet oder zumindest gemeinsam gesteuert werden. Diese Synchronisierung spricht für eine organisierte Infrastruktur mit hoher Professionalisierung.
Seit 2022 wächst das Netzwerk kontinuierlich
Paradoxerweise führte die mediale Aufmerksamkeit um RainbowEx nach Einschätzung von Infoblox sogar dazu, dass weitere Betrüger dieselbe technische Grundlage übernahmen.
Bekannte Fallbeispiele: RainbowEx, LSSC, YST
Tausende Einwohner einer kleinen argentinischen Stadt investierten hohe Geldsummen auf der vermeintlichen Kryptobörse RainbowEx – und verloren alles. Der Fall sorgte international für Schlagzeilen.
Versprach Anlegern hohe passive Einnahmen durch ein angeblich innovatives E-Scooter-Sharing-System. Zur Steigerung der Glaubwürdigkeit wurden sogar reale Ladengeschäfte eröffnet. Geschätzter Schaden: Millionenhöhe.
Ähnliches Geschäftsmodell, aktiv in Australien, Neuseeland und den USA. Trotz offizieller Unternehmensunterlagen sehen Sicherheitsforscher Verbindungen zu weiteren Investmentbetrugs-Webseiten innerhalb desselben Netzwerks.
Warum diese Entwicklung besonders gefährlich ist
Der eigentliche Missbrauch liegt nicht in einer Malware oder einem Exploit. Stattdessen wird ein vollkommen legitimes Entwicklungswerkzeug zweckentfremdet. Dadurch profitieren Kriminelle von:
Das senkt die Einstiegshürden erheblich und macht Online-Betrug zu einem nahezu industriellen Geschäftsmodell.
So schützen sich Unternehmen und Privatpersonen
Gefälschte Investmentplattformen wirken heute häufig professioneller als viele echte Finanzdienstleister. Besondere Vorsicht ist geboten bei folgenden Warnsignalen:
Vor jeder Investition sollte geprüft werden, ob der Anbieter tatsächlich reguliert ist und eine nachvollziehbare Unternehmenshistorie besitzt.
Fazit: Online-Betrug wird zur Massenware
Die Untersuchung von Infoblox zeigt eindrucksvoll, wie professionell Cyberkriminelle inzwischen arbeiten. Ein legitimes Open-Source-Framework dient als Grundlage für eine riesige Betrugsindustrie mit mehr als 236.000 bekannten Domains – und das Netzwerk wächst seit 2022 kontinuierlich.
Für Verbraucher und Unternehmen bedeutet das: Professionell gestaltete Webseiten sind längst kein Vertrauensmerkmal mehr. Hinter modernen Oberflächen können sich organisierte Betrugsnetzwerke verbergen, die mit industrieller Effizienz neue Scam-Plattformen veröffentlichen.
Schützen Sie Mitarbeitende und Kunden vor Scam-Plattformen
Wasacon unterstützt KMU im Kreis Heinsberg mit Awareness-Schulungen, Phishing-Tests, Markenüberwachung und EDR/XDR – damit professionelle Fake-Seiten Ihr Geschäft nicht treffen.
Häufige Fragen
Wasacon in Ihrer Region
Awareness, Phishing-Tests, IT-Sicherheit und EDR/XDR für KMU, Industrie und Behörden im Kreis Heinsberg und Umgebung.
