Un informe indica que una campaña de ingeniería social dirige ataques a usuarios de criptomonedas mediante startups falsas

La investigación de Darktrace revela una campaña continua de ingeniería social que apunta a usuarios de criptomonedas a través de empresas falsas. Los estafadores se hacen pasar por empresas de IA, juegos y Web3 utilizando cuentas de redes sociales suplantadas.

La documentación del proyecto se aloja en plataformas legítimas como Notion y GitHub. La campaña continúa cambiando desde diciembre de 2024, apuntando a empleados de Web3 en todo el mundo.

Las empresas falsas utilizan plataformas legítimas para construir una presencia creíble

Los actores de amenazas crean empresas falsas con temas de IA, juegos y software de videoconferencia. Las fachadas de empresas Web3 y de redes sociales ayudan a apuntar específicamente a usuarios de criptomonedas. Estas operaciones utilizan cuentas de X comprometidas, típicamente con verificación, para contactar a las víctimas.

Los atacantes utilizan plataformas legítimas, incluidas Notion, Medium y GitHub, para la documentación. Los sitios web de aspecto profesional incluyen perfiles de empleados, blogs de productos, libros blancos y hojas de ruta de desarrollo. Las cuentas de X parecen comprometidas con mayores conteos de seguidores que añaden a la apariencia de legitimidad.

Los estafadores siguen activos en cuentas de redes sociales publicando actualizaciones de desarrollo de software. El contenido de marketing de productos se comparte regularmente mientras las campañas operan en múltiples plataformas. El juego blockchain Eternal Decay creó fotos falsas de presentaciones de conferencias para ganar credibilidad.

Los atacantes incluso alteraron fotos de la exposición italiana haciéndolas parecer presentaciones de la empresa. Medium aloja publicaciones de blog sobre productos de software falsos y desarrollos de la empresa. Notion contiene hojas de ruta de productos detalladas y información completa de listados de empleados.

Los repositorios de GitHub presentan aspectos técnicos del software utilizando proyectos de código abierto robados. Los nombres de código se cambian para hacer que los repositorios parezcan únicos y originales. La información de registro de empresas de Companies House se vincula a empresas con nombres similares.

Gitbook detalla la información de la empresa y enumera asociaciones falsas con inversores para ganar credibilidad. Las imágenes del juego robadas de Zombie Within game aparecen como contenido de Eternal Decay. Algunas empresas falsas establecen tiendas de mercancía para completar las fachadas comerciales.

Estos elementos combinados crean apariencias convincentes de empresas de startups, aumentando las tasas de éxito de infección. Las víctimas reciben contacto a través de mensajes de X, Telegram o Discord de empleados. Los trabajadores falsos ofrecen pagos en criptomonedas por la participación en pruebas de software.

Malware que apunta a usuarios de billeteras cripto tanto en Windows como en macOS

Las versiones de Windows se distribuyen a través de aplicaciones Electron que exigen códigos de registro de empleados suplantados. Los bins son descargados por los usuarios después de ingresar los códigos proporcionados a través de mensajería en redes sociales. Se presentan pantallas de verificación de CloudFlare antes de la ejecución del malware en los sistemas objetivo.

El malware recopila perfiles del sistema en nombre de usuario, detalles de CPU, RAM y gráficos. Las direcciones MAC y UUIDs del sistema se recopilan en fases preliminares de reconocimiento. Los mecanismos de autenticación basados en tokens utilizan tokens que se derivan de las URL del lanzador de aplicaciones.

Los certificados de firma de código robados aumentan la legitimidad del software y evaden la detección de seguridad. Se utilizaron certificados de empresas como Jiangyin Fengyuan Electronics Co. y Paperbucketmdb ApS. Python se recupera y almacena en directorios temporales para la ejecución de comandos.

Las distribuciones de macOS se lanzan como archivos DMG que contienen scripts bash y binarios. Los scripts utilizan técnicas de ofuscación como codificación base64 y cifrado XOR. AppleScript monta el malware y ejecuta ejecutables desde directorios temporales automáticamente.

El malware de macOS realiza comprobaciones anti-análisis para entornos QEMU, VMWare y Docker. Atomic Stealer apunta a datos del navegador, billeteras cripto, cookies y archivos de documentos. Los datos robados se comprimen y envían mediante solicitudes POST a servidores.

Scripts bash adicionales establecen persistencia a través de configuraciones de Launch Agent al inicio de sesión. El malware registra el uso de aplicaciones activas y la información de ventanas continuamente. Las marcas de tiempo de interacción del usuario se registran y transmiten a los servidores de recopilación periódicamente.

Ambas versiones apuntan específicamente a los datos de billeteras de criptomonedas para operaciones de robo. Múltiples empresas falsas distribuyen el mismo malware con diferentes marcas y temas.

Lista extensa de empresas falsas identificadas en múltiples plataformas

Darktrace reveló varias compañías falsas operando a través de esta campaña de ingeniería social. Pollens AI se hace pasar por herramientas de creación colaborativa utilizando cuentas de X y otros sitios web. Buzzu emplea los mismos logotipos y código que Pollens pero opera bajo una marca diferente.

Se informa que Cloudsign proporciona servicios de plataforma de firma de documentos a consumidores empresariales. Swox es una red social de próxima generación en el espacio Web3. KlastAI está estrechamente vinculada a las cuentas y sitios de Pollens con la misma marca.

Wasper utiliza los mismos logotipos y código de GitHub que Pollens en varias áreas. Lunelior opera a través de varios sitios web sirviendo a varios grupos de usuarios en específico. BeeSync operó previamente como alias de Buzzu antes de su cambio de marca en enero de 2025.

Slax aloja sitios centrados en redes sociales e IA en múltiples sitios web. Solune llega a los usuarios a través de la actividad en plataformas de redes sociales y el uso de aplicaciones de mensajería. Eternal Decay es una empresa de juegos blockchain con presentaciones de conferencias sintéticas.

Dexis tiene la misma marca que Swox y compartía la misma base de usuarios. NexVoo tiene múltiples dominios y gestión de plataformas de redes sociales. NexLoop cambió su marca a NexoraCore renombrando repositorios de GitHub.

YondaAI apunta a usuarios de sitios de redes sociales y usuarios de varios dominios de sitios web. Cada negocio tiene fachadas profesionales a través de procedimientos de integración en plataformas reales. El grupo de tráfico CrazyEvil ha estado operando tales campañas desde 2021.

Recorded Future aproxima los millones de ingresos de CrazyEvil de actividades maliciosas. Se dice que el grupo está detrás de ataques a usuarios de criptomonedas, influencers y profesionales de DeFi. Las campañas muestran esfuerzos extensos en hacer apariencias de negocios legítimos.