يتم توزيع برامج التشفير الخبيثة Amos و Lumma عبر منشورات على موقع Reddit

انتشرت مؤخراً برامج خبيثة لسرقة العملات الرقمية، مثل Lumma وAMOS، عبر منشورات على موقع Reddit. تستهدف هذه المنشورات مستخدمي نظامي التشغيل Windows وMac في مجال العملات الرقمية. 

تستخدم هذه المنشورات أساليب متنوعة لخداع المستخدم وحمله على تنزيل برامج مصابة. إلا أن أحد هذه الأساليب أصبح شائعاً بشكل خاص، وهو نسخة مقرصنة من برنامج TradingView. 

ينشط هؤلاء المحتالون مؤخرًا في منتديات فرعية متعلقة بالعملات الرقمية. ويزعمون، وفقًا لمنشوراتهم، أن النسخة المقرصنة من منصة TradingView مجانية تمامًا، وأنها تم اختراقها مباشرةً من نسخة رسمية. ويدّعي المحتالون أنها تتيح الوصول إلى ميزات مميزة، مثل أدوات الرسوم البيانية المتقدمة للأسهم والفوركس والعملات الرقمية والسلع. 

برنامج Malwarebytes أن ملفات البرنامج المصاب، سواءً لنظامي التشغيل ويندوز أو ماك، مضغوطة بضغط مزدوج. والملف المضغوط النهائي محمي بكلمة مرور، وهو أمر غير معتاد، إذ لا تُضغط الملفات التنفيذية الأصلية بهذه الطريقة. 

وفقًا لـ Malwarebytes، يتم تسريب بيانات المستخدم على نظام التشغيل Mac من خلال طلب POST إلى خادم (45.140.13.244) مستضاف في سيشيل.

يحتوي مُثبِّت نظام ماك على إصدار أحدث من AMOS. وهو برنامج تجسس شائع لنظام macOS، ويتحقق من وجود جهاز افتراضي. في حال اكتشافه، يتوقف البرنامج مع ظهور رمز الخطأ 42. 

يقوم إصدار ويندوز بتحميل الحمولة الخبيثة عبر ملف دفعي مُشفر يقوم بتشغيل برنامج نصي خبيث. وقد ربطت شركة Malwarebytes إصدار ويندوز بمضيف 'cousidporke[.]icu' مسجل في روسيا قبل أسبوع.