Ein neu entdecktes Phishing-Framework namens JWR ermöglicht Kriminellen, in Echtzeit zu sehen, welche Informationen Opfer auf gefälschten Websites eingeben. Das Tool kann Zahlungs-, Anmelde- und Checkout-Seiten von Marken wie PayPal, Apple, Shopify, WooCommerce, Klarna und Banken imitieren.
Im Gegensatz zu vielen anderen Phishing-Seiten wartet JWR nicht darauf, dass ein Opfer ein Formular absendet. Angreifer können Kartennummern, Passwörter und Verifizierungscodes bereits sehen, während das Opfer sie eingibt.
Sicherheitsforscher von Cisco Talos stellten fest, dass das Framework den Betreibern umfassende Kontrolle über die gefälschte Seite bietet. Sie können Nachrichten ändern, weitere Informationen anfordern und Opfer durch zusätzliche Verifizierungsschritte führen, während der Betrug noch läuft.
Angreifer sehen Informationen, bevor Opfer Formulare absenden
Das JWR-Phishing-Kit hält eine direkte Verbindung zwischen dem Browser des Opfers und der Command-and-Control-Infrastruktur des Angreifers aufrecht. Es verwendet einen mit AES-CTR verschlüsselten WebSocket-Kanal, über den die Betreiber eingegebene Informationen sofort empfangen können.
Dadurch haben Kriminelle Zeit, auf jedes einzelne Opfer zu reagieren. Ein Betreiber kann beispielsweise eine gefälschte Meldung über eine abgelehnte Karte anzeigen, nachdem er die Zahlungsdaten erhalten hat. Das Opfer könnte daraufhin eine andere Karte eingeben und dem Angreifer dadurch noch mehr Finanzdaten liefern.
Akzeptiert der Betreiber die eingegebenen Kartendaten, kann die Seite das Opfer zu einer gefälschten Identitätsprüfung weiterleiten. Der Betrug fordert anschließend einen Einmalcode an, der dem Angreifer die letzte benötigte Information liefern könnte, um auf ein Konto zuzugreifen oder betrügerische Zahlungen durchzuführen.
Nach dem Sammeln der Informationen kann die gefälschte Website das Opfer auf die legitime Website weiterleiten. Dadurch fällt der Betrug möglicherweise weniger auf und Opfer bemerken unter Umständen nicht, dass sie sensible Daten preisgegeben haben.
Gefälschte Checkout-Seiten können echte Warenkörbe kopieren
JWR bietet spezielle Unterstützung für Shopify und WooCommerce. Diese Integrationen können den Warenkorb eines Opfers auf einer betrügerischen Checkout-Seite mithilfe der Warenkorbdaten des ursprünglichen Shops nachbilden.
Dadurch sehen Opfer möglicherweise genau die Produkte, die sie tatsächlich kaufen wollten, was die gefälschte Checkout-Seite besonders überzeugend erscheinen lässt. Das Framework kann nicht nur Zahlungsformulare, sondern auch den Ablauf und Kontext eines legitimen Kaufs imitieren.
Talos identifizierte 44 Phishing-Seiten und mehr als 40 verschiedene Befehle, die über die Command-and-Control-Konsole des Frameworks ausgeführt wurden.
Framework zielt auf Zahlungs-, Anmelde- und Identitätsdaten
Das JWR-Phishing-Kit zielt auf weit mehr als nur Zahlungskartendaten. Den Forschern zufolge kann es Anmeldedaten für Websites, PayPal-Zugangsdaten, Codes für die Zwei-Faktor-Authentifizierung und vollständige Geräte-Fingerprints sammeln.
Das Framework kann außerdem Ausweisdokumente, US-amerikanische Social-Security-Nummern sowie Bilder von Reisepässen und Führerscheinen anfordern. Solche Daten können für Kontoübernahmen, Identitätsbetrug und anschließende Social-Engineering-Angriffe verwendet werden.
Talos beobachtete JWR in SMS-Phishing-Kampagnen, die sich als Mautdienste, Straßenmautsysteme, Postunternehmen und Kurierdienste ausgaben. Die Kampagnen richteten sich über schädliche Links in SMS-Nachrichten an Menschen in Südostasien und im Nahen Osten.
Forscher bringen JWR mit Phishing-Dienst Outsider in Verbindung
Die Benutzeroberfläche für JWR-Betreiber enthält vereinfachtes Chinesisch. Dies deutet darauf hin, dass ein chinesischsprachiger Akteur die beobachtete Kampagne betrieben hat.
Talos geht mit mittlerer Sicherheit davon aus, dass JWR eine Variante der Phishing-as-a-Service-Plattform Outsider ist. Die Forscher stützen diese Einschätzung auf Ähnlichkeiten bei den clientseitigen Skripten und Funktionen des Frameworks.
Outsider ist seit 2023 aktiv und wurde mit geschätzten Verlusten von 1,9 Milliarden US-Dollar in 55 Ländern in Verbindung gebracht. Das FBI kündigte im Juni 2026 eine Operation gegen den Dienst an. Talos warnte jedoch, dass frühere Self-Service-Verkäufe dazu geführt haben könnten, dass Varianten weiterhin im Umlauf sind.
Fazit
Das JWR-Phishing-Kit macht Online-Betrug gefährlicher, indem es Angreifern die direkte Kontrolle über die Nutzererfahrung ihrer Opfer ermöglicht. Nutzer sollten unerwartete Links in SMS-Nachrichten nicht öffnen und Zahlungs- oder Anmeldedaten nur eingeben, nachdem sie die offizielle Website selbst aufgerufen haben.
0 Kommentare zu „JWR-Phishing-Kit imitiert PayPal, Apple und Online-Shops“