TRUMP-Coin-Phishing liefert ScreenConnect-RAT: Underwriting-Sicht

Ein altbekannter RAT in neuem Gewand: Warum die „TRUMP-Coin“-Kampagne für Versicherer wichtig ist

Am 11. März 2025 veröffentlichten Analysten für Bedrohungsinformationen einen Bericht über eine E-Mail-Kampagne, die Binance, die weltweit größte Kryptowährungsbörse nach Handelsvolumen, imitierte und den Empfängern die Chance bot, einen fiktiven „TRUMP“-Coin zu beanspruchen. Der Köder, eingepackt in politische und finanzielle Gelegenheitsmacherei, lieferte einen bösartigen Installer, der als „Binance Desktop“ gebrandet war und bei Ausführung ConnectWise ScreenConnect als einen Remote Access Trojaner (RAT) einsetzte. Die Kampagne ist keine Kuriosität. Sie ist ein Lehrbuchbeispiel dafür, wie Standardwerkzeuge für den Erstzugriff für das aktuelle soziale Narrativ neu verpackt werden, und sie landet direkt im Schadensprofil, das Cyber-Versicherer derzeit zeichnen.

Für Risikoträger und Makler sind die technischen Details weniger wichtig als das Muster. RATs sind ein führender Vorläufer für Ransomware-Schäden. Der IBM-Bericht „Cost of a Data Breach“ 2024 bezifferte die durchschnittlichen Kosten einer Datenschutzverletzung auf 4,88 Millionen USD, einen Anstieg von 10 % im Vorjahresvergleich, und Ransomware blieb der teuerste Vorfallstyp mit durchschnittlich 5,13 Millionen USD pro Ereignis. Viele dieser Ransomware-Ketten begannen genau mit dieser Art von Fernzugriff. Diese Kampagne als Schadensszenario und nicht als Malware-Trivia zu lesen, ist der richtige Ausgangspunkt.

Was die Kampagne tatsächlich tut

Die Phishing-E-Mail behauptet, TRUMP-markierte Kryptowährungstokens anzubieten, zeitlich so gelegt, dass sie von Marktspekulationen um politisch thematisierte digitale Vermögenswerte profitiert. Die Nachricht leitet den Empfänger dazu, einen Desktop-Client, „Binance Desktop“, von einer nachgeahmten Domain herunterzuladen. Einmal installiert, lädt die Binärdatei ConnectWise ScreenConnect herunter, ein legitimes Werkzeug für den Remote-Support und verwaltete Dienste, konfiguriert im unbeaufsichtigten Modus und gerichtet auf eine vom Angreifer kontrollierte Infrastruktur.

Der Angreifer erbt die gesamte ScreenConnect-Funktionspalette: Live-Bildschirmsteuerung, Dateiübertragung, Befehlsausführung, Diebstahl von Anmeldedaten aus Browsern und Windows-Anmeldeinformationsspeichern sowie Persistenz durch installierte Dienste. Vom Endgerät des Opfers aus sieht die Aktivität wie eine legitime MSP-Verbindung aus, was genau der Grund ist, warum dieses Angriffsmuster so effektiv ist. Defensive Werkzeuge, die ScreenConnect für geschäftliche Zwecke auf eine Whitelist gesetzt haben, bieten nun Deckung für den Gegner.

Dies ist keine Schwachstellen-Ausnutzung im herkömmlichen Sinne. Die Kampagne stützt sich auf Benutzeraktionen und eine signierte, legitime Binärdatei. Sie umgeht viele signaturbasierte Erkennungen. Die relevante ConnectWise ScreenConnect CVE-Kette von 2024, insbesondere CVE-2024-1709 (Authentifizierungsumgehung) und CVE-2024-1708 (Pfadüberschreitung), zeigte, dass Angreifer bereits mit der Produktoberfläche vertraut waren, und die Kundenbasis von ScreenConnect mit mehr als einer Million Endgeräten macht es zu einem hochwertigen Ziel sowohl für offensive Nutzung als auch für Missbrauch.

Warum die Versicherungsbranche aufmerksam sein sollte

Drei konvergierende Trends machen diesen Bericht zu einem nützlichen Signal für die Risikoprüfung, nicht nur ein SOC-Bulletin.

Erstens nutzt die Kampagne die Lücke zwischen legitimer Remote-Access-Software und bösartiger Nutzung aus. ScreenConnect, AnyDesk, TeamViewer und ähnliche Produkte erscheinen in fast jeder verwalteten Umgebung. Versicherer, die auf der Grundlage eines binären Vertrauensmodells zeichnen, bei dem eine signierte Anwendung einer sicheren Anwendung gleichkommt, verlieren bereits an Genauigkeit. Eine nützlichere Frage bei der Risikoprüfung ist, ob der Versicherungsnehmer eine Anwendungszulassungsliste (Allowlisting), EDR-Sichtbarkeit auf Remote-Access-Tools und einen Prozess zur Überwachung unbeaufsichtigter Sitzungen hat.

Zweitens erzeugen Köder für Social Engineering, die an aktuelle Ereignisse geknüpft sind, überdurchschnittliche Klickraten. Branchen-Telemetriedaten von Anbietern wie Proofpoint haben konsistent gezeigt, dass finanzielle, politische und kryptowährungsbezogene Köder generische Phishing-Vorlagen übertreffen. Der Verizon Data Breach Investigations Report 2024 führt 68 % der Verletzungen auf ein nicht böswilliges menschliches Element zurück, was bedeutet, dass ein Mitarbeiter etwas tut, von dem er glaubt, dass es vernünftig ist. Das TRUMP-Coin-Thema ist so konstruiert, dass es vernünftig erscheint: Es ist ein plausibles Produkt von einer plausiblen Börse in einem plausiblen Nachrichtenzyklus.

Drittens fungieren RATs als Bestand der Broker für Erstzugriff. Eine einzelne ScreenConnect-Installation kann verkauft, gemietet oder direkt verwendet werden, um Ransomware, Business Email Compromise oder Datenexfiltration vorzubereiten. Die Kette von der Phishing-E-Mail zum materiellen Schaden kann so kurz wie 24 bis 72 Stunden sein. Für die Modellierung der Schadenhäufigkeit ist dies ein Verlustvektor mit hoher Geschwindigkeit.

Übersetzung des Technischen in die Sprache der Police

Für Makler und Risikoträger, die diese Kampagne prüfen, haben drei technische Punkte direkte Auswirkungen auf die Police.

Der Initialvektor ist ein bösartiger Download, der von einem Benutzer ausgeführt wird. Dies liegt an der Grenze zwischen der Deckung gegen Straftaten erster Partei und der traditionellen Cyber-Deckung. Ausschlüsse für Social Engineering, Untergrenzen für Zwei-Faktor-Authentifizierung und Definitionen für Computerbetragsfonds werden alle relevant. Policen, die sich darauf verlassen, dass der Benutzer getäuscht wird, eine Überweisung zu veranlassen oder Anmeldedaten zu teilen, können dies anders behandeln als eine Police, die unbefugten Systemzugriff abdeckt. Das TRUMP-Coin-Szenario ist ein Remote-Access-Ereignis, kein Geldtransfer-Ereignis, aber es schafft die Bedingungen für beides.

Der Persistenzmechanismus ist ein legitimes, signiertes Remote-Access-Werkzeug. Erkennungs- und Reaktionskontrollen, die legitime RMM-Software nicht inventarisieren, einschließlich ScreenConnect, AnyDesk, ConnectWise Automate und Atera, sind blind für diese Kampagne. Fragebögen zur Risikoprüfung, die nur nach der_presence von Antivirus fragen, statt nach EDR-Abdeckung und RMM-Überwachung, gewichten dieses Risiko zu gering.

Das Potenzial für Datenexposition ist breit. Ein RAT mit betreutem Zugriff ermöglicht Tastaturprotokollierung, Extraktion von Browser-Anmeldedaten, Durchsuchen des Dateisystems und Erfassen der Zwischenablage. Für Versicherungsnehmer in Finanzdienstleistungen, Recht, Gesundheitswesen oder öffentlicher Auftragsvergabe ist dies ein reguläres Datenereignis, das darauf wartet, zu passieren. Benachrichtigungskosten, regulatorische Bußgelder und Dritthaftung fließen direkt aus dem Brückenkopf, den der RAT bietet.

Deckungs- und Risikoprüfungsimplikationen

Für Versicherer ist diese Kampagne ein Anstoß, drei Bereiche der Polizengestaltung und Risikoselektion erneut zu prüfen.

Hinsichtlich der Deckung sollten Makler die Wechselwirkung zwischen Untergrenzen für Social Engineering, Computerbetrugsdeckung und vollen Polizengrenzen überprüfen. Eine TRUMP-Coin-Phishing-E-Mail, die einen RAT liefert, ist im Sinne des Geldtransfers nicht strikt ein Social-Engineering-Verlust, aber dieselbe Absichtskette ist vorhanden. Versicherer, die Social Engineering auf „freiwillige Geldüberweisung“ eingeengt haben, sollten gefragt werden, wie sie die freiwillige Installation von Remote-Access-Software behandeln. Die Antwort wirkt sich erheblich auf die Regulierung des Versicherungsnehmers aus.

Hinsichtlich der Risikoprüfung sind die relevanten Signale nicht neu, aber der Fall für sie wird gestärkt. Risikoträger sollten gewichten:

• Endgeräte-Sichtbarkeit. Ist EDR über die Umgebung hinweg eingesetzt und warnt es vor der Nutzung von Remote-Access-Tools, insbesondere wenn sie außerhalb von Wartungsfenstern oder Geschäftszeiten aufgerufen werden?
• E-Mail-Authentifizierung. Sind DMARC, DKIM und SPF auf eine Richtlinie von Quarantäne oder Ablehnung konfiguriert? Domänen-Spoofing bleibt ein primärer Ermöglicher von Imitationskampagnen wie dieser.
• Anwendungskontrolle. Gibt es eine Zulassungsliste (Allowlisting) oder kontrollierte Ausführung für Remote-Management-Werkzeuge, und werden unbefugte Installationen standardmäßig blockiert?
• Benutzerschulung. Beinhaltet die Phishing-Simulation Köder zu aktuellen Ereignissen, und wird die Meldequote gemessen und nicht nur die Klickrate?
• Überwachung von Drittanbietern und Marken. Hat der Versicherungsnehmer Sichtbarkeit auf Nachahmungs-Domains, die ihre Marke, Kunden und Führungskräfte ins Visier nehmen?

Für Makler, die Kundenberichte erstellen, ist dieser Bericht ein konkretes Artefakt, das an Empfehlungen angehängt werden kann. Ein einzelner, veralteter Bedrohungsbericht, der mit einem benannten Angreifermuster verknüpft ist, hat mehr Gewicht in einem Verlängerungsgespräch als eine generelle Folie zum Sicherheitsbewusstsein.

Für CISOs ist die praktische Aktionsliste kurz und gut bekannt, was Teil der Frustration ist. Gestaffelte E-Mail-Filterung, DNS-Sinkholing für bekannte bösartige Infrastruktur, Anwendungszulassungslisten für RMM-Werkzeuge, EDR mit Telemetrie für Remote-Access-Tools und phishing-resistente MFA auf allen E-Mail- und VPN-Zugangspunkten. Wenn man einem dokumentierten Risikoregister das spezifische Szenario „Standard-RAT, geliefert über Markenimitierung mit Krypto-Köder“ hinzufügt, erhalten Sicherheits- und Risikoteams ein gemeinsames Artefakt, gegen das sie priorisieren können.

Empfehlungen für Versicherer, Makler und Risikoteams

Für Risikoträger: Behandeln Sie Standard-RAT-Kampagnen als Häufigkeitsereignis, nicht als Kuriosität. Passen Sie Annahmen zur Schadenhäufigkeit an, um zu reflektieren, dass Kampagnen der Jahre 2024 und 2025 weiterhin signierten Remote-Access-Werkzeugen gegenüber individueller Malware den Vorzug geben. Aktualisieren Sie Fragebögen zur Risikoprüfung, um spezifisch nach RMM-Inventar, EDR-Abdeckung von Remote-Access-Prozessen und DMARC-Durchsetzung zu fragen. Erwägen Sie Prämienrabatte oder Anpassungen der Selbstbeteiligung, die an diese Kontrollen geknüpft sind, statt an breitere „Next-Gen“-Endgeräte-Ansprüche.

Für Makler: Nutzen Sie diesen Bericht in Verlängerungsgesprächen. Das Narrativ ist einfach und aktuell: Ein benannter Bedrohungsakteur verwendet einen politisch thematisierten Kryptowährungs-Köder, um einen Remote Access Trojaner zu liefern, der in früheren großen Vorfällen verwendet wurde, und die Kontrollen des Versicherungsnehmers sind der entscheidende Faktor dafür, ob ein Schaden materialisiert. Verknüpfen Sie die Empfehlung mit spezifischen Bedingungen der Police, einschließlich Untergrenzen für Social Engineering, RMM-Ausschlüssen falls vorhanden, und der Abdeckung von Vorverträgen für die Reaktion auf Vorfälle.

Für CISOs und Sicherheitsleiter: Bilden Sie die Kampagne auf Ihre Umgebung in einer einzigen Seite ab. Identifizieren Sie die verwendeten RMM-Werkzeuge, bestätigen Sie, dass sie verwaltet und inventarisiert sind, und validieren Sie, dass EDR-Regeln bei unerwarteten Aufrufen auslösen. Führen Sie ein Planspiel durch, in dem ein einzelner Mitarbeiter einen „Binance Desktop“-Client installiert und das Reaktionsteam 48 Stunden Zeit hat, einzudämmen, zu beseitigen und wiederherzustellen. Messen Sie die Zeit und vergleichen Sie sie mit der SLA in Ihrer Cyber-Versicherungspolice. Wenn die Zahlen nicht übereinstimmen, ist die Lücke das Gespräch, das Sie mit Ihrem Makler führen müssen.

Für Risikoingenieure, die Bewertungen vor oder nach Vertragsabschluss durchführen: Fügen Sie einen Kontrolltest für unbefugte RMM-Persistenz hinzu. Eine einfache PowerShell-Abfrage über den Bestand hinweg, um installierte Remote-Access-Dienste aufzulisten, abgeglichen mit einer Liste genehmigter Anbieter, deckt sowohl Shadow IT als auch Angreifer-Brückenköpfe auf. Dokumentieren Sie das Ergebnis und verknüpfen Sie es mit der Kontrollsprache in der Police.

Das Fazit

Dieser Bericht ist ein nützliches Artefakt gerade weil er gewöhnlich ist. Eine Phishing-E-Mail, eine nachgeahmte Domain, ein signiertes legitimes Werkzeug und ein Brückenkopf für Remote-Zugriff. Es gibt keinen neuartigen Exploit, keine Zero-Day und keine Zuschreibung zu einem Nationalstaat erforderlich, um den Verlust zu modellieren. Das Muster ist wiederholbar, die Kontrollen, die es mildern, sind gut verstanden, und die Lücke zwischen der Praxis des Versicherungsnehmers und der Erwartung des Versicherers ist breit genug, um sowohl Schäden als auch Streitigkeiten zu antreiben.

Für den Versicherungsmarkt ist die Schlussfolgerung einfach. Zeichnen Sie gegen das Muster, nicht gegen die Payload. Risikoträger, die den Preis nach dem Vorhandensein von EDR-Abdeckung, RMM-Inventardisziplin und Durchsetzung der E-Mail-Authentifizierung bemessen, werden dieses Risiko genauer bemessen als diejenigen, die den Preis nach dem Fehlen eines einzelnen CVE bemessen. Makler, die einen veralteten Bedrohungsbericht in spezifische Polizeiklauseln und spezifische Kontrollfragen übersetzen können, werden Verlängerungszyklen verkürzen und Überraschungen zur Zeit des Schadenfalls reduzieren.

Die TRUMP-Coin-Kampagne wird nicht die letzte ihrer Art sein. Die nächste Variante wird den Coin, die Marke oder den politischen Haken austauschen, und der zugrundeliegende Mechanismus wird bleiben. Die Arbeit für die Versicherungs- und Risikogemeinschaft besteht darin, diesen Mechanismus unprofitabel zu machen, Kontrolle für Kontrolle, Polizeiklausel für Polizeiklausel, Bewertung für Bewertung.