انتشار عملية الاحتيال GreedyBear عبر إضافات فايرفوكس وسرقة 1 مليون دولار من العملات المشفرة: كوي سيكيوريتي
- استخدمت عملية الاحتيال التي تم كشفها مؤخرًا باسم GreedyBear 150 إضافة لمتصفح Firefox لسرقة بيانات اعتماد العملات الرقمية.
- تشمل بنية الهجوم 500 ملف تنفيذي ضار ومواقع احتيالية.
- سرق هذا الحملة المنسقة أكثر من مليون دولار من مستخدمين العملات الرقمية.
قامت مجموعة الاحتيال GreedyBear بسرقة أكثر من مليون دولار من العملات المشفرة من خلال حملة هجومية منسقة.
أبلغت شركة كوي سيكيوريتي أن المجموعة أطلقت 150 ملحقاً لمتصفح فايرفوكس مسلحاً بالإضافة إلى 500 ملف تنفيذي ضار. استخدمت العملية ملحقات محفظة مزيفة ومواقع تصيد وبرمجيات خبيثة لاستهداف مستخدمي العملات المشفرة عبر منصات متعددة.
احتيال إضافات فايرفوكس يستهدف محافظ العملات المشفرة الشهيرة
أطلق احتيال «جريدي بير» أكثر من 150 ملحقاً ضاراً على متجر فايرفوكس يستهدف مستخدمي العملات المشفرة. تحاكي الملحقين الضارة محافظ شهيرة مثل ميتاماسك، وترون لينك، وإكسودس، ورابي ووليت. تنسخ جميع الملحقين واجهات المحافظ الشرعية لاختطاف بيانات اعتماد المستخدمين عندما يحاولون تسجيل الدخول.
يقوم المخترقون في البداية بإنتاج إضافات تبدو أصلية مثل أدوات تنقية الروابط ومحمّلات يوتيوب ذات وظائف محدودة. ومع تشكيلة من 5-7 أدوات عامة بأسماء ناشرين جديدة، فإنهم عادةً ما يكتسبون مصداقية على المدى الطويل.
بمجرد أن يبني المجرمون الثقة من خلال مراجعات إيجابية حقيقية، يقومون بإفراغ هذه الإضافات تماماً. ويغيرون الأسماء والأيقونات ويحقنون أكواداً ضارة مع الاحتفاظ بتاريخ المراجعات الإيجابية الأصلي. تتيح هذه الطريقة للإضافات الضارة أن تبدو موثوقة للمستخدمين الجدد الذين يتصفحون المتجر.
تعمل الإضافات كأدوات للحصول على بيانات اعتماد المحافظ من حقول الإدخال في نوافذها المنبثقة. يتم إرسال المعلومات المسروقة إلى خوادم عنيفة يسيطر عليها المجرمون للاستفادة منها لاحقاً. كما ترسل الإضافات عناوين IP للضحايا عند بدء التشغيل لتتبعهم.
يأتي هذا الإجراء كمتابعة لنشاط سابق لمحفظة Foxy Wallet حدد 40 إضافة ضارة. وقد توسع النطاق أكثر من الضعف مقارنة بالحالة الأولية. تؤكد تقارير المستخدمين أن الضحايا خسروا قيمة كبيرة من العملات المشفرة باستخدام هذه الإضافات المزيفة لمحافظ العملات على فترات مختلفة.
هجوم متعدد المنصات يجمع بين البرمجيات الخبيثة ومواقع الاحتيال
يعمل احتيال جريدي بير على نشر ما يقرب من 500 ملف تنفيذي ضار لنظام ويندوز جنباً إلى جنب مع حملته لملحقات المتصفح. تنتشر هذه البرامج عبر مواقع ويب روسية توزع برمجيات مقرصنة ومحتالة على المستخدمين غير المحترسين. يمتد مجموعة البرمجيات الخبيثة عبر فئات تهديد متعددة لإمكانية الضرر القصوى.
تستهدف أدوات سرقة بيانات الاعتماد مثل LummaStealer معلومات محافظ العملات المشفرة المخزنة على أجهزة الضحايا. تشفر متغيرات برامج الفدية ملفات المستخدم وتطالب بدفع عملات مشفرة مقابل مفاتيح فك التشفير. توفر البرمجيات الخبيثة العامة (التروجان) وصولاً خلفياً لتسليم حمولات إضافية عند الحاجة.
تحافظ المجموعة أيضاً على بنية تحتية لمواقع خدمات العملات المشفرة المزيفة لسرقة البيانات. مواقع الاحتيال هذه تبدو كخدمات عملات مشفرة شرعية وليست صفحات تصيد نموذجية. تحتوي محافظ الأجهزة من علامة Jupiter أيضاً على نماذج واجهة مزيفة تهدف إلى خداع المشترين المحتملين للكشف عن تفاصيل الدفع.
مثال آخر ورد في التقرير كان مواقع إصلاح المحافظ التي تدعي إصلاح منتجات Trezor التالفة للعملاء المحبطين. تجمع المواقع المزيفة كلمات استعادة المحفظة والمفاتيح الخاصة بينما تتظاهر بدعم فني. بعض النطاقات نشطة بينما أخرى خاملة، في انتظار هجمات مستهدفة في المستقبل.
يظهر تنوع أساليب الهجوم أن عملية الاحتيال GreedyBear تشغل خط توزيع واسعاً بدلاً من التركيز على تقنية واحدة. يسمح هذا النهج المتنوع للمجموعة بتغيير التكتيكات بناءً على ما ينجح بشكل أفضل. يؤكد إعادة استخدام البنية التحتية عبر عائلات برمجيات خبيثة مختلفة التنسيق المركزي وراء جميع مكونات الحملة.
خادم مركزي يتحكم في عمليات السرقة العالمية
تشغل GreedyBear مشروعها الإجرامي بالكامل من خلال عنوان IP واحد وهو 185.208.156.66. تتصل تقريباً جميع النطاقات المستخدمة عبر الإضافات والحمولات الخبيثة ومواقع التصيد بهذا الخادم المركزي. يتعامل هذا المركز مع اتصالات القيادة والتحكم، وجمع بيانات الاعتماد، وتنسيق برامج الفدية، واستضافة مواقع الاحتيال.
تسمح البنية التحتية المركزية للمهاجمين بتبسيط العمليات عبر قنوات هجومية متعددة بكفاءة. تتدفق البيانات من إضافات المتصفح، والبرمجيات الخبيثة، وضحايا المواقع إلى نقطة جمع واحدة. يبسط هذا النهج الإدارة بينما يوفر معلومات استخباراتية شاملة حول الضحايا المستهدفين.
اكتشفت كوي سيكيوريتي أن المجموعة بدأت بالفعل في التوسع خارج متصفحات فايرفوكس. استخدمت إضافة كروم خبيثة تسمى Filecoin Wallet نفس طرق سرقة بيانات الاعتماد قبل أشهر. تواصلت هذه الإضافة مع نطاقات مستضافة على بنية الخادم نفسها 185.208.156.66.
يؤكد الاتصال أن GreedyBear تختبر العمليات عبر أنظمة متصفح مختلفة. من المرجح أن تواجه كروم وإيدج ومتصفحات أخرى حملات إضافات مماثلة في الأشهر القادمة. يظهر استعداد المجموعة للتجربة عبر المنصات التزامها بتوسيع عملياتها.
ساعدت أدوات الذكاء الاصطناعي في تسريع نمو الحملة وتعقيدها وفقاً لتحليل الكود. تشير العناصر المولدة في البرمجيات الخبيثة إلى أن الذكاء الاصطناعي يساعد في إنشاء الحمولات وتوسيع نطاقها. تتيح هذه التكنولوجيا دورات تطوير أسرع وتجنباً أفضل لأنظمة الكشف الأمني عبر منصات مختلفة.
أذكى العقول في عالم العملات الرقمية يقرأون بالفعل نشرتنا الإخبارية. هل تريد الانضمام؟ انضم إليهم.
إخلاء مسؤولية. المعلومات المقدمة ليست نصيحة تداول. Cryptopolitan.com لا تتحمل أي مسؤولية عن أي استثمارات تتم بناءً على المعلومات المقدمة في هذه الصفحة. نوصي بشدة بإجراء بحث مستقل و/أو الاستعانة بمستشار مؤهل قبل اتخاذ أي قرارات استثمارية.
فيغنيش كارونانيدهي
فيغنيش هو كاتب محتوى في مجال العملات الرقمية وصحفي متخصص في العملات الرقمية ومحرر محتوى ومدير وسائل التواصل الاجتماعي. عمل مع Watcher.guru وBeInCrypto وCoinGape وMilkroad وAirdrops لأكثر من 6 سنوات. تم صقل مهاراته في تغطية أخبار التكنولوجيا والروبوتات والأعمال والذكاء الاصطناعي خلال دراسته للحصول على درجة الماجستير في التجارة.
