Das Phänomen der emoji-basierten Kommunikation unter Cyberkriminellen zeigt, wie kreativ und adaptiv die Bedrohungslandschaft geworden ist. Ein besonders prominentes Beispiel ist die sogenannte “Disgomoji”-Malware, die von der Pakistan-verbundenen APT-Gruppe UTA0137 entwickelt wurde. Diese Malware interpretiert einfache Emojis, die über Discord versendet werden, als operative Befehle. Ein Kamera-Emoji löst Screenshot-Funktionen aus, ein Feuer-Emoji initiiert die Datenexfiltration, und ein Totenschädel-Emoji beendet laufende Prozesse. Diese Methode ermöglicht es Angreifern, Command-and-Control-Kommunikation (C2) vollständig zu verschleiern und Malware an Sicherheitsmaßnahmen vorbeizuschleusen.
Flashpoint identifizierte zwei zentrale Gründe, warum Cyberkriminelle zunehmend auf Emojis setzen. Erstens umgehen sie damit einfache Keyword-Filter – traditionelle Sicherheitssysteme suchen nach bestimmten Begriffen wie “Betrug” oder “Malware”, können aber Symbole nicht so einfach klassifizieren. Zweitens ermöglichen Emojis eine effektivere Kommunikation in großvolumigen Umgebungen wie Telegram-Betrugskänalen, Phishing-Communities und illegalen Marktplätzen. Besonders wichtig: Emojis funktionieren sprachenübergreifend, was für global organisierte Cyberkriminelle einen enormen Vorteil darstellt.
Die Analyse zeigte Muster in der Emoji-Nutzung. Bedrohungsakteure verwenden häufig Kartensymbole für gestohlene Kreditkartendaten, Geldtaschen für Gewinne, Schlüssel für Zugangsdaten und offene Schlösser für erfolgreiche Datenbankzugriffe. Diese Symbole erscheinen in Verkaufsangeboten, Betrugsprotokollen und Erfolgsmeldungen. Weitere Emojis signalisieren Fähigkeiten: Roboter für Bot-Services, Zahnräder für Infrastruktur-Setup und Werkzeugkästen für komplette Service-Pakete. Auch geografische Ziele werden damit gekennzeichnet – Gebäude-Emojis für Unternehmens-Ziele, Landesflaggen für spezifische Regionen.
Die gute Nachricht für Verteidiger: Gerade weil Cyberkriminelle in erkennbare Muster verfallen, eröffnet sich eine Chance für Threat-Hunter. Dieselben Emoji-Kombinationen, Formatierungen und Nachrichtenstrukturen, die für Cyberkriminelle praktisch sind, ermöglichen es Sicherheitsforschern, Aktivitäten über verschiedene Kanäle, Plattformen und Aliases hinweg zu verfolgen und zu korrelieren. Deutsche Sicherheitsorganisationen sollten ihre Überwachungssysteme um Emoji-Analyse erweitern, um dieser neuen Bedrohungstaktik Herr zu werden.