Usuarios de Cardano objetivo en una nueva campaña de phishing de billetera

Los usuarios de Cardano están siendo objetivo actualmente en una nueva campaña de phishing de billetera. Según los informes, la sofisticada campaña de phishing está circulando actualmente dentro de la comunidad, planteando riesgos significativos para los usuarios que tienen la intención de descargar la recién anunciada aplicación Eternl Desktop.

Los hackers elaboran correos electrónicos profesionales que afirman promover una solución de billetera legítima diseñada para la participación segura en staking y gobernanza de Cardano. El anuncio utiliza términos relacionados con los usuarios que ganan recompensas, incluyendo NIGHT y recompensas de tokens ATMA a través del programa actual de sorteo cripto, para establecer credibilidad y impulsar la participación de los usuarios.

Los hackers están apuntando a usuarios de billeteras de Cardano

Según los informes, los hackers fueron capaces de crear una réplica del anuncio oficial de Eternl Desktop, complementándolo con un mensaje sobre compatibilidad con billeteras de hardware, gestión local de claves y control de delegación avanzado.

El correo electrónico muestra un tono pulido y profesional con gramática adecuada y sin errores ortográficos visibles, lo que lo hace muy efectivo para engañar a los miembros de la comunidad de Cardano. Mientras tanto, distribuye malware a cualquier sistema que ingrese.

Los informes mencionaron que la campaña utiliza un dominio registrado recientemente, download(dot)eternldesktop(dot)network, para distribuir un paquete de instalador malicioso sin necesidad de una verificación oficial o validación de firma digital.

En el análisis técnico detallado realizado por Anurag, un cazador de amenazas independiente y analista de malware, el archivo Eternl.msi legítimo contiene una herramienta de gestión remota LogMeIn Resolve incrustada dentro de su paquete de instalación.

El descubrimiento expuso un intento de abuso de la cadena de suministro destinado a establecer acceso no autorizado persistente en los sistemas de las víctimas. El instalador MSI malicioso, con un tamaño de 23,3 megabytes y hash 8fa4844e40669c1cb417d7cf923bf3e0, despliega un ejecutable llamado unattended updater.exe, que utiliza el nombre de archivo original GoToResolveUnattendedUpdater.exe.

Durante el análisis en tiempo de ejecución, el ejecutable crea una estructura de carpeta identificada bajo los Archivos de Programa del sistema.

Una vez que crea los Archivos de Programa, crea un directorio y escribe múltiples configuraciones, incluyendo unattended.json, logger.json, mandatory.json y pc.json. El archivo de configuración unattended.json habilita la funcionalidad de acceso remoto sin necesidad de que el usuario interactúe.

El ejecutable desplegado intenta establecer conexiones con infraestructura asociada con los Servicios legítimos de GoTo Resolve, incluyendo devices-iot.console.gotoresolve.com y dumpster.console.gotoresolve.com.

El malware proporciona a los hackers acceso remoto

Según el análisis de red, el malware envía información a los hackers en formato JSON. También utiliza servidores remotos para establecer un canal de comunicación para la ejecución de comandos y el monitoreo del sistema.

Los investigadores de seguridad dicen que este comportamiento es importante porque las herramientas de gestión remota permiten a los hackers llevar a cabo la ejecución remota de comandos y robar credenciales una vez que el malware está instalado en el sistema de una víctima.

La campaña de phishing de Cardano también muestra cómo los hackers utilizan criptomonedas y la marca de plataformas legítimas para distribuir herramientas infectadas con malware. Esto significa que los usuarios deben verificar la autenticidad del software que utilizan a través de canales oficiales. Además, deben evitar descargar aplicaciones de billetera de fuentes no verificadas o dominios registrados recientemente, independientemente de lo bien que parezcan sus correos electrónicos de distribución.

Esta campaña de phishing de Cardano es similar a la que atacó a clientes utilizando Meta para anuncios el año pasado. Los usuarios son atraídos con correos electrónicos que afirman que sus anuncios han sido suspendidos temporalmente debido a violaciones de las políticas de publicidad y regulaciones de la UE.

Los estafadores incluso llegan a hacer que parezca legítimo añadiendo la marca oficial de Instagram y un lenguaje oficial-sobre violaciones de políticas. Sin embargo, una inspección más cercana mostró que los correos electrónicos eran de un dominio diferente.

Los investigadores mencionaron que al hacer clic en el enlace, los usuarios son redirigidos a una página falsa de Meta Business que parece convincente. El sitio web imita el sitio de soporte real, abriéndose con una página que advierte al usuario que su cuenta enfrenta la terminación si no toman medidas de inmediato.

Los usuarios son engañados para que introduzcan su inicio de sesión de Anuncios en los espacios proporcionados, con el soporte al cliente guiándolos con instrucciones paso a paso proporcionadas para restaurar sus cuentas.