تكشف كاباسكي عن برمجيات خبيثة على SourceForge تستهدف مستخدمي العملات المشفرة بتبديل العناوين
- تحديد Kaspersky لبرمجيات خبيثة جديدة تتخفى كمكوّن إضافي (Plugin) لبرنامج Microsoft Office وتستهدف مستخدمي العملات المشفرة.
- ستقوم البرمجيات الخبيثة بتثبيت برنامج تعدين وClipBanker على الأجهزة المصابة، مما يسمح للمهاجمين بسمّ عناوين العملات المشفرة التي يتم نسخها إلى الحافظة.
- تُعد تسميم العناوين أحد أنواع عمليات التصيد الاحتيالي المتزايدة بشكل كبير في مجال العملات المشفرة.
حذرت شركة الأمن كاباسكي من برمجيات خبيثة جديدة تستهدف مستخدمي العملات المشفرة من خلال موقع استضافة البرمجيات SourceForge. في منشور حديث، قالت الشركة إن مشروع البرمجيات على الموقع، Office Package، يحتوي على برمجيات خبيثة لسموم العناوين تستهدف مستخدمي العملات المشفرة.
ووفقاً للتقرير، فإن برنامج Office Package هو مشروع شرعي يحتوي على إضافات لبرنامج Microsoft Office. ومع ذلك، يكشف التحقيق الدقيق المزيد عن الحزمة، حيث تحتوي على روابط تحميل تؤدي إلى عنوان URL مختلف.
وقالت:
"تم تعيين النطاق officepackage.sourceforge[.]io للمشروع قيد التحقيق، لكن الصفحة المعروضة عند الانتقال إلى ذلك النطاق لا تشبه على الإطلاق officepackage على sourceforge.net.".
من المثير للاهتمام أن عملية تنزيل البرمجيات الخبيثة معقدة للغاية، حيث يمر المستخدمون عبر ثلاثة عناوين URL قبل أن يتمكنوا من تنزيل الملف. يبدو أن العملية المعقدة جزء من المخطط لإغراء المستخدمين للاعتقاد بأنهم يقومون بتنزيل تطبيق أصلي.
لاحظ خبراء الأمن في كاباسكي أن ملف التثبيت النهائي هو installer.msi، وهو ملف بحجم 700 ميجابايت قام الفاعلون السيئون بتضخيم حجمه ليبدو وكأنه مثبت برمجيات أصلي. بعد إزالة البايتات العشوائية، يكون الحجم الفعلي سبعة ميجابايت.
من خلال تشغيل المثبت، يقوم المستخدمون عن غير قصد بتثبيت تطبيقين ضارين على أجهزتهم، هما برنامج تعدين وبرنامج ClipBanker. يسمح ClipBanker بسموم العناوين عن طريق استبدال عناوين العملات المشفرة المنسوخة إلى الحافظة بتلك الخاصة بالمتسلل، مما يؤدي إلى إرسال المستخدمين للأموال إلى عناوين خاطئة.
كتب خبراء الأمن:
"تتلخص الإجراءات الخبيثة الرئيسية في هذه الحملة في تشغيل نصين من نوع AutoIt. يعيد Icon.dll تشغيل مفسر AutoIt ويحقن برنامج تعدين فيه، بينما تقوم Kape.dll بالمثل ولكن بحقن ClipBanker.".
في الوقت نفسه، لاحظوا أن الهجوم ركز بشكل أساسي على الأهداف الروسية. تشمل علامات ذلك واجهة الموقع الروسية لموقع officepackage.sourceforge[.]io وحقيقة أن 90% من المستخدمين البالغ عددهم 4604 الذين واجهوا البرمجيات الخبيثة بين يناير وأواخر مارس هم روس.
تزايد عمليات الاحتيال بسموم العناوين
يتوافق تقرير كاباسكي مع الارتفاع الأخير في هجمات سموم العناوين على مستخدمي العملات المشفرة، كما أفادت به عدة شركات أمنية على البلوك تشين. ووفقاً لبيانات من Scam Sniffer، كان الحادث الثالث الأكبر للتصيد الاحتيالي في مارس بسبب سموم العناوين.
أبلغت شركة Cyvers أيضاً أن عمليات الاحتيال بسموم العناوين تسببت في خسارة تزيد عن 1.2 مليون دولار خلال الأسابيع الثلاثة الأولى من مارس، مما يضاف إلى 1.8 مليون دولار في فبراير. وقالت الشركة إن نظامها للكشف عن التهديدات بالذكاء الاصطناعي حدد زيادة في هجمات سموم العناوين.
بينما تنتج معظم هجمات سموم العناوين عن قيام المتسللين بإرسال معاملات صغيرة يدوياً إلى الضحايا بعناوين تشبه تلك التي يستخدمونها بشكل متكرر، فإن استخدام برمجيات خبيثة متطورة تسمح للمتسللين بتغيير العناوين من الحافظة يظهر كيف يستمر الفاعلون السيئون في التطور.
يعتقد خبراء الأمن أن الحل الأول لهذه المشكلة هو تجنب المستخدمين تنزيل البرمجيات من مصادر غير موثوقة. وأشاروا إلى أن الفاعلين السيئون يستغلون عادةً مواقع البرمجيات غير الرسمية لتوزيع التطبيقات الضارة، ويجب على الأشخاص الذين يستخدمون مثل هذه المواقع أن يكونوا على دراية بهذا الخطر.
ومع ذلك، لاحظوا أن هذه البرمجيات الخبيثة تطرح مشكلة أكبر لأنها توفر طريقة مبتكرة للمتسللين للحصول على وصول إلى الأنظمة المصابة. وبالتالي، هناك احتمال أن يقرر المصممون استخدامها لأكثر من استهداف مستخدمي العملات المشفرة والبدء في بيعها لفاعلين سيئين أكثر خطورة.
أذكى العقول في عالم العملات الرقمية يقرأون بالفعل نشرتنا الإخبارية. هل تريد الانضمام؟ انضم إليهم.
إخلاء مسؤولية. المعلومات المقدمة ليست نصيحة تداول. Cryptopolitan.com لا تتحمل أي مسؤولية عن أي استثمارات تتم بناءً على المعلومات المقدمة في هذه الصفحة. نوصي بشدة بإجراء بحث مستقل و/أو الاستعانة بمستشار مؤهل قبل اتخاذ أي قرارات استثمارية.
