Nuevo malware AMOS está clonando aplicaciones de billeteras cripto en Macs
- El malware AMOS ha regresado, esta vez haciéndose pasar por la aplicación de grabación de pantalla Loom y apuntando a Macs para robar billeteras de criptomonedas.
- Los cibercriminales están utilizando anuncios falsos de Google para engañar a las personas y hacer que descarguen una versión maliciosa de Loom que clona aplicaciones legítimas como Ledger Live.
Así que aquí vamos de nuevo. El malware AMOS para Mac ha vuelto al juego, y esta vez lleva un nuevo disfraz. Los psicópatas sigilosos detrás de este ataque han decidido impersonar a Loom, la popular aplicación de grabación de pantalla con más de 20 millones de usuarios.
¿Y adivinen qué? Están usando Google Ads para atraer a las víctimas, haciendo que esta operación parezca tan legítima como sea posible. ¿El plan? Hacer que usuarios desprevenidos descarguen una versión falsa de Loom desde un sitio web falso.
Los investigadores de Moonlock Lab informan que esta última versión también está clonando aplicaciones legítimas de billeteras cripto, como Ledger Live. Sí, el estafador AMOS está reemplazando estas aplicaciones de confianza con clones maliciosos.
OUna vez en tu Mac, se acabó el juego. Tus billeteras cripto, datos del navegador, contraseñas: todo queda a merced de los atacantes. El grupo detrás de esto, posiblemente llamado "Crazy Evil", parece estar bien organizado y vinculado a redes de cibercriminales rusos.
La gente hacía clic en estos anuncios, pensando que obtenían el producto real, y en su lugar, eran redirigidos a un sitio sospechoso llamado smokecoffeeshop[.]com.
De ahí, las cosas se pusieron más extrañas. Las víctimas terminaban en un sitio web que se veía exactamente como el de Loom, pero era una trampa. Un clic en el botón de descarga, y ¡pum! tu Mac ahora está infectado con el nuevo estafador AMOS.
Este es un producto pulido en el mercado negro. Alquilarlo podría costar hasta $3,000 al mes. ¿Y por qué es tan caro? Porque esto lo hace todo. Roba archivos, captura el historial del navegador, obtiene credenciales, vacía tus billeteras cripto: lo hace todo.
Este es malware de primera clase, amigos.
También han clonado otras aplicaciones: Figma, TunnelBlick (una VPN), Callzy e incluso un caso extraño llamado BlackDesertPersonalContractforYouTubepartners[.]dmg.
Moonlock encontró algunas pistas que vinculaban a Crazy Evil con esta campaña en la dark web. Se toparon con un anuncio de reclutamiento buscando personas para unirse a un equipo que usa, adivinen qué, el estafador AMOS.
Este anuncio incluso se jactaba de su capacidad para reemplazar "Ledger" en macOS, confirmando que la misma versión de AMOS encontrada en la naturaleza estaba siendo impulsada por estos tipos, haciéndose pasar por Loom.
Una investigación más profunda reveló una dirección IP vinculada a este lío: 85[.]28[.]0[.]47. Cuando Moonlock ejecutó esta IP a través de VirusTotal, un sitio que verifica malware, marcó 93 archivos como maliciosos.
Y esto es lo mejor: esos archivos tenían conexiones con una entidad gubernamental rusa. ¿Coincidencia? Quizás, pero probablemente no. El proveedor de servicios de Internet (ISP) de la IP estaba listado como Gorodskaya elektronnaya svyaz Ltd, también conocido como Gesnet[.]ru, una empresa rusa.
Gesnet parece operar una gran red, pero buena suerte encontrando información detallada sobre ellos. El mercado de ISPs en Rusia es turbio, por decir lo menos, con leyes estrictas que hacen que la transparencia sea casi imposible para para los externos.
Por ahora, la mejor defensa es una buena ofensiva. Mantente alerta, no hagas clic en anuncios sospechosos y, por el amor de las criptomonedas, vigila tus aplicaciones.
Las mentes más inteligentes del mundo cripto ya leen nuestro boletín. ¿Quieres unirte? Únete a ellos.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
Jai Hamid
Jai Hamid ha estado cubriendo criptomonedas, mercados bursátiles, tecnología, la economía global y los eventos geopolíticos que afectan a los mercados durante los últimos 6 años. Ha trabajado con publicaciones centradas en blockchain, incluidas AMB Crypto, Coin Edition y CryptoTale, en análisis de mercado, grandes empresas, regulación y tendencias macroeconómicas. Se graduó en la London School of Journalism y ha compartido tres veces sus conocimientos sobre el mercado de criptomonedas en una de las principales cadenas de televisión de África.
