Kaspersky entdeckt Malware auf SourceForge, die Krypto-Nutzer mit Adressänderungen angreift
- Kaspersky identifiziert neue Malware, die sich als Microsoft-Office-Plugin tarnt und Krypto-Nutzer angreift.
- Die Malware installiert einen Miner und ClipBanker auf infizierten Geräten und ermöglicht es Angreifern, in die Zwischenablage kopierte Krypto-Adressen zu manipulieren.
- Adressmanipulation entwickelt sich zu einer der Hauptarten von Phishing-Betrugsfällen im Krypto-Bereich.
Das Sicherheitsunternehmen Kaspersky hat vor neuer Malware gewarnt, die Krypto-Nutzer über die Software-Hosting-Website SourceForge angreift. In einer kürzlichen Veröffentlichung teilte das Unternehmen mit, dass das Softwareprojekt auf der Website, Office Package, eine Adress-Vergiftungs-Malware enthält, die auf Krypto-Nutzer abzielt.
Laut dem Bericht ist die Office-Package-Software ein legitimes Projekt, das Microsoft Office-Add-Ins enthält. Eine genauere Untersuchung zeigt jedoch mehr über das Paket, da es Download-Links enthält, die zu einer anderen URL führen.
Es heißt:
„Das untersuchte Projekt wurde der Domain officepackage.sourceforge[.]io zugewiesen, aber die Seite, die angezeigt wird, wenn man diese Domain aufruft, sieht nichts mit officepackage auf sourceforge.net gemeinsam.“
Interessanterweise ist der Malware-Download-Prozess ziemlich komplex, da die Nutzer drei URLs durchlaufen, bevor sie die Datei herunterladen können. Der komplexe Prozess scheint Teil des Plans zu sein, Nutzer dazu zu bringen, zu glauben, sie würden eine echte Anwendung herunterladen.
Kaspersky-Sicherheitsexperten stellten fest, dass die finale Installationsdatei installer.msi ist, eine 700-Megabyte-Datei, deren Größe von böswilligen Akteuren aufgebläht wurde, um wie ein authentischer Software-Installer auszusehen. Nach dem Entfernen der Junk-Bytes beträgt die tatsächliche Größe sieben Megabyte.
Durch das Ausführen des Installers installieren Nutzer unwissentlich zwei schädliche Anwendungen auf ihren Geräten: einen Miner und ClipBanker. ClipBanker ermöglicht die Adress-Vergiftung, indem er Krypto-Adressen, die in die Zwischenablage kopiert wurden, durch die des Angreifers ersetzt, was dazu führt, dass Nutzer Gelder an falsche Adressen senden.
Die Sicherheitsexperten schrieben:
„Die wichtigsten schädlichen Aktionen in dieser Kampagne lassen sich auf das Ausführen von zwei AutoIt-Skripten reduzieren. Icon.dll startet den AutoIt-Interpreter neu und injiziert einen Miner darin, während Kape.dll dasselbe tut, aber ClipBanker injiziert.“
Gleichzeitig stellten sie fest, dass der Angriff sich hauptsächlich auf russische Ziele konzentrierte. Hinweise darauf sind die russische Benutzeroberfläche der Site officepackage.sourceforge[.]io und die Tatsache, dass 90 % der 4.604 Nutzer, die zwischen Januar und Ende März auf die Malware stießen, Russen waren.
Adress-Vergiftungsbetrügereien nehmen zu
Der Kaspersky-Bericht korreliert mit dem jüngsten Anstieg von Adress-Vergiftungsangriffen auf Krypto-Nutzer, wie von mehreren Blockchain-Sicherheitsfirmen berichtet. Laut Daten von Scam Sniffer war der drittgrößte Phishing-Vorfall im März auf Adress-Vergiftung zurückzuführen.
Cyvers berichtete ebenfalls, dass Adress-Vergiftungsbetrügereien in den ersten drei Wochen im März Verluste von mehr als 1,2 Millionen US-Dollar verursachten, was sich zu den 1,8 Millionen US-Dollar im Februar addierte. Das Unternehmen sagte, sein KI-Bedrohungserkennungssystem habe einen Anstieg von Adress-Vergiftungsangriffen identifiziert.
Während die meisten Adress-Vergiftungsangriffe daraus resultieren, dass Angreifer manuell kleine Transaktionen an Opfer senden, deren Adressen denen ähneln, die sie häufig nutzen, zeigt die Verwendung ausgefeilter Malware, die es Angreifern ermöglicht, Adressen aus der Zwischenablage zu ändern, wie sich böswillige Akteure weiterentwickeln.
Sicherheitsexperten glauben, dass die Nummer-eins-Lösung für dieses Problem darin besteht, dass Nutzer das Herunterladen von Software aus nicht vertrauenswürdigen Quellen vermeiden. Sie wiesen darauf hin, dass böswillige Akteure in der Regel inoffizielle Software-Websites ausnutzen, um schädliche Anwendungen zu verbreiten, und dass Personen, die solche Websites nutzen, sich dieses Risikos bewusst sein müssen.
Allerdings wiesen sie darauf hin, dass diese Malware ein noch größeres Problem darstellt, da sie den Angreifern einen erfinderischen Weg bietet, Zugriff auf infizierte Systeme zu erlangen. Daher besteht die Möglichkeit, dass die Ersteller entscheiden, sie nicht nur für das Zielen auf Krypto-Nutzer zu verwenden, sondern sie an gefährlichere böswillige Akteure zu verkaufen.
Lesen Sie nicht nur Krypto-Nachrichten. Verstehen Sie sie. Abonnieren Sie unseren Newsletter. Es ist kostenlos.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com Wir übernehmen keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor jeglichen Anlageentscheidungen eine unabhängige Recherche durchzuführen und/oder einen qualifizierten Fachmann zu konsultieren.
