مستخدمو Cardano مستهدفون في حملة تصيد احتيالي جديدة للمحافظ

يتم استهداف مستخدمو Cardano حاليًا في حملة تصيد احتيالي جديدة للمحافظ. ووفقًا للتقارير، تنتشر حملة التصيد الاحتيالي المتطورة حاليًا داخل المجتمع، مما يشكل مخاطر كبيرة على المستخدمين الذين ينوون تنزيل تطبيق Eternl Desktop المعلن حديثًا.

يصنع المحتالون رسائل بريد إلكتروني احترافية تدعي الترويج لحل محفظة شرعي مصمم للمشاركة الآمنة في رهان Cardano والحوكمة. يستخدم الإعلان مصطلحات تتعلق بكسب المستخدمين للمكافآت، بما في ذلك NIGHT ومكافآت رمز ATMA من خلال برنامج السحب الحالي للعملات المشفرة، لإرساء المصداقية ودفع تفاعل المستخدمين.

المحتالون يستهدفون مستخدمي محافظ Cardano

ووفقًا للتقارير، تمكن المحتالون من إنشاء نسخة طبق الأصل من إعلان Eternl Desktop الرسمي، مكملين إياه برسالة حول توافق محافظ الأجهزة، وإدارة المفاتيح المحلية، والتحكم المتقدم في التفويض.

تعرض الرسالة نبرة راقية واحترافية مع قواعد لغة سليمة وعدم وجود أخطاء إملائية مرئية، مما يجعلها فعالة جدًا في خداع أعضاء مجتمع Cardano. في الوقت نفسه، توزع البرمجيات الخبيثة على أي نظام تدخل إليه.

ذكرت التقارير أن الحملة تستخدم نطاقًا مسجلًا حديثًا، download(dot)eternldesktop(dot)network، لتوزيع حزمة مثبت خبيثة دون الحاجة إلى تحقق رسمي أو التحقق من صحة التوقيع الرقمي.

في التحليل التقني المفصل الذي أجراه أنوراج، صائد تهديدات مستقل ومحلل برمجيات خبيثة، يحتوي ملف Eternl.msi الشرعي على أداة إدارة عنيدة LogMeIn Resolve مضمنة ضمن حزمة التثبيت الخاصة بها.

كشف الاكتشاف عن محاولة إساءة استخدام سلسلة التوريد تهدف إلى إنشاء وصول غير مصرح مستمر على أنظمة الضحايا. يقوم مثبت MSI الخبيث، بحجم 23.3 ميجابايت وبهاش 8fa4844e40669c1cb417d7cf923bf3e0، بإسقاط ملف تنفيذي يسمى unattended updater.exe، والذي يستخدم اسم الملف الأصلي GoToResolveUnattendedUpdater.exe.

أثناء تحليل وقت التشغيل، ينشئ الملف التنفيذي بنية مجلدات محددة تحت Program Files في النظام.

بمجرد إنشاء Program Files، ينشئ دليلًا ويكتب تكوينات متعددة، بما في ذلك unattended.json وlogger.json وmandatory.json وpc.json. تمكّن ملف تكوين unattended.json وظيفة الوصول عن بُعد دون الحاجة إلى تفاعل المستخدم.

يحاول الملف التنفيذي المُنزل إنشاء اتصالات مع البنية التحتية المرتبطة بخدمات GoTo Resolve الشرعية، بما في ذلك devices-iot.console.gotoresolve.com و dumpster.console.gotoresolve.com.

البرمجيات الخبيثة توفر للمحتالين وصولاً عن بُعد

ووفقًا لتحليل الشبكة، ترسل البرمجيات الخبيثة المعلومات إلى المحتالين بتنسيق JSON. كما تستخدم خوادم عن بُعد لإنشاء قناة اتصال لتنفيذ الأوامر ومراقبة النظام.

يقول باحثو الأمن إن هذا السلوك مهم لأن أدوات الإدارة عن بُعد تسمح للمحتالين بتنفيذ أوامر عن بُعد وسرقة بيانات الاعتماد بمجرد تثبيت البرمجيات الخبيثة على نظام الضحية.

تظهر حملة التصيد الاحتيالي لـ Cardano أيضًا كيف يستخدم المحتالون العملات المشفرة وعلامة المنصات الشرعية لتوزيع أدوات مصابة بالبرمجيات الخبيثة. هذا يعني أن المستخدمين بحاجة إلى التحقق من أصالة البرامج التي يستخدمونها من خلال القنوات الرسمية. بالإضافة إلى ذلك، يجب عليهم أيضًا تجنب تنزيل تطبيقات المحفظة من مصادر غير موثقة أو نطاقات مسجلة حديثًا، بغض النظر عن مدى جودة رسائل البريد الإلكتروني للتوزيع.

تشبه حملة التصيد الاحتيالي لـ Cardano هذه الحملة التي استهدفت العملاء باستخدام Meta للإعلانات العام الماضي. يتم خداع المستخدمين برسائل بريد إلكتروني تدعي أن إعلاناتهم معلقة مؤقتًا بسبب انتهاكات سياسات الإعلان ولوائح الاتحاد الأوروبي.

يذهب المحتالون إلى أبعد من ذلك بجعلها تبدو شرعية من خلال إضافة علامة Instagram الرسمية ولغة رسمية تبدو رسمية حول انتهاكات السياسات. ومع ذلك، أظهرت الفحص الدقيق أن الرسائل الإلكترونية كانت من نطاق مختلف.

ذكر الباحثون أنه عند النقر على الرابط، يتم إعادة توجيه المستخدمين إلى صفحة Meta Business مزيفة تبدو مقنعة. تحاكي الموقع الإلكتروني موقع الدعم الحقيقي، مفتوحًا بصفحة تحذر المستخدم من أن حسابه يواجه الإنهاء إذا لم يتخذ إجراءً على الفور.

يتم خداع المستخدمين لإدخال تسجيل الدخول إلى الإعلانات في المساحات المقدمة، مع إرشاد دعم العملاء لهم بتعليمات خطوة بخطوة لاستعادة حساباتهم.