JWR-Framework: Neues PhaaS-System spioniert Smartphones aus
Veröffentlicht am: 14.08.2026 um 11:30 Uhr | Redaktion boerse-global.de
Sicherheitsforscher von Cisco Talos warnen vor einer neuen Bedrohung im Bereich der mobilen Sicherheit. Ein neu identifiziertes Framework namens JWR, das als Phishing-as-a-Service (PhaaS) vertrieben wird, nutzt fortschrittliche Techniken, um Nutzer auf ihren Smartphones auszuspionieren.
Im Zentrum der Analyse steht die Verwendung von AES-CTR-verschlüsselten WebSockets, die es den Angreifern ermöglichen, sämtliche Eingaben auf Mobilgeräten in Echtzeit zu überwachen und sogar Bildschirmübergänge aus der Ferne zu steuern.
Technischer Aufbau und Funktionsweise von JWR
Die technische Basis des JWR-Frameworks unterscheidet sich deutlich von herkömmlichen Phishing-Methoden. Laut Untersuchungen von OffSeq.com handelt es sich um eine chinesischsprachige Plattform, die speziell für das Streaming von Kreditkartendaten in Echtzeit entwickelt wurde. Die Client-Engine des Frameworks besteht aus einer Vue.js-Anwendung und verfügt über ein integriertes Host-Bridge-Modul.
Den Betreibern stehen insgesamt 44 verschiedene Phishing-Seiten zur Verfügung, die passgenau auf bekannte Dienstleister zugeschnitten sind. Besonders kritisch wird die Fähigkeit zur Fernsteuerung bewertet: Das System umfasst über 40 Befehle, mit denen die Hintermänner aktiv Bildschirmwechsel auf dem infizierten Gerät auslösen können.
Wer sich vor solch interaktiven Phishing-Angriffen und der Übernahme des eigenen Geräts schützen möchte, findet in diesem kostenlosen Ratgeber die wichtigsten Grundlagen. 5 sofort umsetzbare Schutzmaßnahmen entdecken
Um die Verbindung zwischen dem Opfer und dem Command-and-Control-Server (C2) stabil zu halten, nutzt JWR eine persistente WebSocket-Verbindung. Sollte diese Kommunikationsform durch Sicherheitsmechanismen blockiert werden, verfügt das Framework über eine automatische Ausweichlösung mittels HTTP-Long-Polling.
Imitation namhafter Finanz- und Zahlungsdienste
Das Ziel der Angriffe ist die Erbeutung hochsensibler Informationen. Cisco Talos berichtet, dass JWR täuschend echte Login- und Checkout-Seiten großer internationaler Unternehmen imitiert. Zu den identifizierten Zielen gehören unter anderem Shopify, PayPal und Apple. Auch die Plattform des Zahlungsdienstleisters Klarna sowie verschiedene Bankinstitute werden von dem Framework nachgeahmt.
Durch diese gefälschten Schnittstellen erfassen die Angreifer nicht nur klassische Zahlungsdaten und Kreditkarteninformationen, sondern entwenden auch Kopien von Ausweisdokumenten sowie Codes für die Zwei-Faktor-Authentifizierung (2FA). Zusätzlich werden Geräte-Fingerprints gesammelt, die es den Tätern ermöglichen, die Identität des kompromittierten Geräts für spätere betrügerische Aktivitäten zu nutzen.
Da Kriminelle immer häufiger versuchen, Passwörter und 2FA-Codes über gefälschte Seiten abzugreifen, bietet die Umstellung auf modernere Anmeldeverfahren einen entscheidenden Sicherheitsvorteil. Dieser kostenlose Report zeigt, wie Sie Passkeys bei Diensten wie Amazon oder WhatsApp sofort einrichten und so Phishing keine Chance mehr lassen. Sichere Alternative zu Passwörtern jetzt gratis nachlesen
Herkunft und Verbreitungswege der Kampagnen
Die Experten von Cisco Talos ordnen JWR mit einer mittleren Zuversicht als eine Variante der bereits bekannten Phishing-as-a-Service-Plattform „The Outsider“ ein. In den bisher beobachteten Kampagnen verbreiteten die Hintermänner ihre Schadlinks vornehmlich über SMS-Köder.
Diese Nachrichten tarnten sich als offizielle Mitteilungen von Maut- oder Paketdiensten. Geografisch konzentrierten sich diese Aktivitäten zuletzt auf Regionen in Südostasien sowie auf den Nahen Osten.
Das Framework unterstreicht den Trend zu hochgradig interaktiven Phishing-Angriffen. Da die Datenübertragung und Steuerung in Echtzeit erfolgen, können Angreifer unmittelbar auf Eingaben der Opfer reagieren, was die Entdeckung durch automatisierte Sicherheitssysteme erschwert und die Erfolgsquote bei der Umgehung von Sicherheitsvorkehrungen erhöht.
Durch die Bereitstellung als Dienstleistung im PhaaS-Modell wird zudem die Eintrittsbarriere für Kriminelle gesenkt, die ohne tiefgreifende technische Kenntnisse auf die komplexe Infrastruktur von JWR zugreifen können.
