Kaspersky descubre malware en SourceForge dirigido a usuarios de cripto con intercambios de direcciones
- Kaspersky identifica nuevo malware disfrazado como complemento de Microsoft Office que apunta a usuarios de criptomonedas.
- El malware instalará un minero y ClipBanker en los dispositivos infectados, permitiendo a los atacantes envenenar la dirección de criptomonedas copiada al portapapeles.
- El envenenamiento de direcciones está creciendo como uno de los principales tipos de estafas de phishing en el espacio de las criptomonedas.
La firma de seguridad Kaspersky ha advertido sobre un nuevo malware que ataca a los usuarios de criptomonedas a través del sitio web de alojamiento de software SourceForge. En una publicación reciente, la firma dijo que el proyecto de software en el sitio web, Office Package, contiene un malware de envenenamiento de direcciones dirigido a usuarios de criptomonedas.
Según el informe, el software del paquete Office es un proyecto legítimo que contiene complementos de Microsoft Office. Sin embargo, una investigación más detallada revela más sobre el paquete, ya que contiene enlaces de descarga que conducen a una URL diferente.
Dijo:
“El proyecto bajo investigación ha sido asignado al dominio officepackage.sourceforge[.]io, pero la página que se muestra cuando se visita ese dominio no se parece en nada a officepackage en sourceforge.net.”
Curiosamente, el proceso de descarga del malware es bastante complejo, con los usuarios pasando por tres URL antes de poder descargar el archivo. El proceso complejo parece ser parte del esquema para atraer a los usuarios a creer que están descargando una aplicación genuina.
Los expertos en seguridad de Kaspersky señalaron que el archivo de instalación final es installer.msi, un archivo de 700 megabytes que los actores maliciosos inflaron para hacer que parezca un instalador de software auténtico. Después de eliminar los bytes basura, el tamaño real es de siete megabytes.
Al ejecutar el instalador, los usuarios instalan inadvertidamente dos aplicaciones maliciosas en sus dispositivos, un minero y un ClipBanker. El ClipBanker permite el envenenamiento de direcciones reemplazando las direcciones de criptomonedas copiadas en el portapapeles con las del atacante, lo que lleva a los usuarios a enviar fondos a direcciones incorrectas.
Los expertos en seguridad escribieron:
“Las acciones maliciosas clave en esta campaña se reducen a ejecutar dos scripts de AutoIt. Icon.dll reinicia el intérprete de AutoIt e inyecta un minero en él, mientras que Kape.dll hace lo mismo pero inyecta ClipBanker.”
Mientras tanto, también señalaron que el ataque se centró principalmente en objetivos rusos. Las señales de esto incluyen la interfaz en ruso para el sitio officepackage.sourceforge[.]io y el hecho de que el 90 % de los 4.604 usuarios que encontraron el malware entre enero y finales de marzo son rusos.
Aumento de los estafas de envenenamiento de direcciones
El informe de Kaspersky coincide con el reciente aumento de ataques de envenenamiento de direcciones a usuarios de criptomonedas, según lo informado por varias firmas de seguridad blockchain. Según datos de Scam Sniffer, el tercer incidente de phishing más grande en marzo se debió al envenenamiento de direcciones.
Cyvers también informó que las estafas de envenenamiento de direcciones causaron una pérdida de más de 1,2 millones de dólares dentro de las primeras tres semanas de marzo, sumándose a los 1,8 millones de dólares de febrero. La firma dijo que su sistema de detección de amenazas con IA identificó un aumento en los ataques de envenenamiento de direcciones.
Mientras que la mayoría de los ataques de envenenamiento de direcciones resultan de que los atacantes envían manualmente pequeñas transacciones a las víctimas con direcciones similares a las que suelen usar, el uso de malware sofisticado que permite a los atacantes cambiar las direcciones desde el portapapeles muestra cómo los actores maliciosos continúan evolucionando.
Los expertos en seguridad creen que la solución número uno a este problema es que los usuarios eviten descargar software de fuentes no confiables. Señalaron que los actores maliciosos suelen explotar sitios web de software no oficiales para distribuir aplicaciones maliciosas, y las personas que utilizan dichos sitios web deben ser conscientes de ese riesgo.
Sin embargo, señalaron que este malware presenta un problema aún mayor, ya que proporciona una forma inventiva para que los atacantes obtengan acceso a los sistemas infectados. Por lo tanto, existe la posibilidad de que los creadores decidan usarlo para más que solo dirigirse a usuarios de criptomonedas y comenzar a venderlo a actores maliciosos más peligrosos.
Las mentes más inteligentes del mundo cripto ya leen nuestro boletín. ¿Quieres unirte? Únete a ellos.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
