حملة الهندسة الاجتماعية تستهدف مستخدمي العملات المشفرة عبر شركات ناشئة كاذبة، وفقًا للتقرير

تكشف أبحاث Darktrace عن حملة هندسة اجتماعية مستمرة تستهدف مستخدمي العملات المشفرة من خلال شركات ناشئة كاذبة. يتنكر المحتالون في شكل شركات AI والألعاب و Web3 باستخدام حسابات وسائل التواصل الاجتماعي المزيفة.

يتم استضافة وثائق المشروع على منصات شرعية مثل Notion و GitHub. تستمر الحملة في التغيير منذ ديسمبر 2024 مستهدفة موظفي Web3 عالميًا.

تستخدم الشركات المتخيلة منصات شرعية لبناء حضور موثوق

يخلق الجهات الفاعلة في التهديد شركات ناشئة كاذبة ذات مواضيع AI والألعاب وبرامج اجتماع الفيديو. تساعد واجهات شركات Web3 ووسائل التواصل الاجتماعي في استهداف مستخدمي العملات المشفرة على وجه التحديد. تستخدم هذه العمليات حسابات X المخترقة عادةً مع التحقق من الهوية للتواصل مع الضحايا.

يستخدم المهاجمون منصات شرعية بما في ذلك Notion و Medium و GitHub للوثائق. تتضمن المواقع الإلكترونية ذات المظهر المهني ملفات تعريف الموظفين، ومدونات المنتجات، وكتب بيضاء، وخرائط طريق التطوير. تبدو حسابات X مخترقة مع عدد متابعين أعلى يضيف إلى مظهر المصداقية.

يظل المحتالون نشطين على حسابات وسائل التواصل الاجتماعي حيث ينشرون تحديثات تطوير البرمجيات. يتم مشاركة محتوى التسويق للمنتجات بانتظام بينما تعمل الحملات عبر المنصات. أنشأت لعبة Eternal Decay blockchain صورًا كاذبة لعرض المؤتمر للمصداقية.

قام المهاجمون حتى بتعديل صور المعرض الإيطالي لجعلها تبدو كعروض تقديمية للشركة. تستضيف Medium مقالات مدونة حول منتجات برمجية كاذبة وتطورات الشركة. يحتوي Notion على خرائط طريق مفصلة للمنتج ومعلومات شاملة عن الموظفين.

تتميز مستودعات GitHub بجوانب برمجية تقنية باستخدام مشاريع مفتوحة المصدر مسروقة. يتم تغيير أسماء الأكواد لجعل المستودعات تبدو فريدة وأصلية. يتم ربط معلومات تسجيل الشركة من Companies House بشركات ذات أسماء مشابهة.

تفصل Gitbook معلومات الشركة وتذكر شراكات مستثمرين كاذبة للمصداقية. تظهر صور اللعب المسروقة من لعبة Zombie Within كمحتوى Eternal Decay. تنشئ بعض الشركات المتخيلة متاجر للسلع لإكمال واجهات الأعمال.

تخلق هذه العناصر مجتمعة مظهرًا مقنعًا لشركة ناشئة، مما يزيد من معدلات نجاح العدوى. يتلقى الضحايا التواصل عبر رسائل X أو Telegram أو Discord من الموظفين. يقدم العمال المتخيلون مدفوعات بالعملات المشفرة للمشاركة في اختبار البرمجيات.

برمجيات خبيثة تستهدف مستخدمي محافظ العملات المشفرة على كل من Windows و macOS

تتم توزيع إصدارات Windows عبر تطبيقات Electron التي تتطلب أكواد تسجيل من موظفين متخيلين. يتم تنزيلBins من قبل المستخدمين بعد إدخال الأكواد المعطاة عبر رسائل وسائل التواصل الاجتماعي. يتم عرض شاشات التحقق من CloudFlare قبل تنفيذ البرمجيات الخبيثة على الأنظمة المستهدفة.

تقوم البرمجيات الخبيثة بجمع ملفات تعريف النظام، بما في ذلك اسم المستخدم، وتفاصيل وحدة المعالجة المركزية، والذاكرة العشوائية (RAM)، وكرت الشاشة. يتم جمع عناوين MAC ومعرفات UUID للنظام في مراحل الاستطلاع الأولية. تعتمد آليات المصادقة القائمة على الرموز المميزة (Tokens) على رموز مشتقة من عناوين URL لمشغلات التطبيقات.

تزيد الشهادات المسروقة لتوقيع البرامج من شرعية البرمجيات وتتجنب كشف الأمان. تم استخدام شهادات شركات مثل Jiangyin Fengyuan Electronics Co. و Paperbucketmdb ApS. يتم استرداد لغة Python وتخزينها في أدلة مؤقتة لتنفيذ الأوامر.

تُوزع إصدارات نظام macOS كملفات DMG تحتوي على نصوص برمجية (Scripts) بلغة Bash وبرمجيات قابلة للتنفيذ. تستخدم النصوص البرمجية تقنيات تشويش مثل التشفير بترميز Base64 وتشفير XOR. يقوم AppleScript بتثبيت البرمجيات الخبيثة وتشغيل الملفات القابلة للتنفيذ من الأدلة المؤقتة تلقائياً.

تقوم البرمجيات الخبيثة لنظام macOS بإجراء فحوصات مضادة للتحليل للكشف عن بيئات QEMU و VMWare و Docker. يستهدف Atomic Stealer بيانات المتصفحات، ومحافظ العملات المشفرة، وملفات تعريف الارتباط (Cookies)، وملفات المستندات. يتم ضغط البيانات المسروقة وإرسالها عبر طلبات POST إلى الخوادم.

تؤسس نصوص Bash الإضافية للاستمرارية من خلال تكوينات وكلاء الإطلاق (Launch Agent) عند تسجيل الدخول. تسجل البرمجيات الخبيثة باستمرار استخدام التطبيقات النشطة ومعلومات النوافذ. يتم تسجيل طوابع زمنية لتفاعل المستخدم وإرسالها إلى خوادم الجمع بشكل دوري.

تستهدف كلتا الإصدارين بيانات محافظ العملات المشفرة خصيصاً لعمليات السرقة. توزع شركات وهمية متعددة نفس البرمجيات الخبيثة بعلامات تجارية وسمات مختلفة.

قائمة شاملة من الشركات الوهمية تم تحديدها عبر منصات متعددة

كشفت Darktrace عن عدة شركات مزيفة تعمل من خلال هذه الحملة الهندسة الاجتماعية. تحاكي Pollens AI أدوات الإنشاء التعاونية باستخدام حسابات X ومواقع ويب أخرى. يستخدم Buzzu نفس الشعارات والرمز البرمجي الخاص بـ Pollens ولكنه يعمل بعلامة تجارية مختلفة.

يُبلغ عن أن Cloudsign يوفر خدمات منصة توقيع المستندات لعملاء الأعمال. Swox هو شبكة اجتماعية من الجيل التالي في مساحة الويب 3. ترتبط KlastAI ارتباطاً وثيقاً بحسابات ومواقع Pollens التي تحمل نفس العلامة التجارية.

يستخدم Wasper نفس الشعارات والرمز البرمجي على GitHub الخاص بـ Pollens عبر مناطق مختلفة. تعمل Lunelior من خلال مواقع ويب متنوعة تخدم مجموعات مستخدمين محددة. عملت BeeSync سابقاً باسم مستعار لـ Buzzu قبل إعادة تسميتها في يناير 2025.

تستضيف Slax مواقع التواصل الاجتماعي والمواقع المرتبطة بالذكاء الاصطناعي على مواقع ويب متعددة. تصل Solune إلى المستخدمين من خلال نشاط منصات التواصل الاجتماعي واستخدام تطبيقات المراسلة. Eternal Decay هي شركة ألعاب بلوكتشين تقدم عروضاً مؤتمرات اصطناعية.

Dexis تحمل نفس العلامة التجارية لـ Swox وتشارك نفس قاعدة المستخدمين. تمتلك NexVoo نطاقات متعددة وإدارة لمنصات التواصل الاجتماعي. أعادت NexLoop تسمية نفسها إلى NexoraCore عن طريق إعادة تسمية مستودعات GitHub.

تستهدف YondaAI مستخدمي مواقع التواصل الاجتماعي ومستخدمي النطاقات لمواقع ويب متنوعة. تمتلك كل شركة واجهات احترافية من خلال إجراءات التكامل مع المنصات الحقيقية. تعمل مجموعة CrazyEvil Traffer على مثل هذه الحملات منذ عام 2021.

تقدر Recorded Future إيرادات CrazyEvil بالملايين الناتجة عن الأنشطة الخبيثة. يُقال إن المجموعة تقف وراء هجمات على مستخدمي العملات المشفرة، والمؤثرين، ومحترفي DeFi. تظهر الحملات جهوداً واسعة لجعل المظهر التجاري يبدو شرعياً.