Les utilisateurs de Cardano ciblés par une nouvelle campagne de phishing de portefeuille

Les utilisateurs de Cardano sont actuellement ciblés par une nouvelle campagne de phishing de portefeuille. Selon les rapports, cette campagne sophistiquée circule actuellement au sein de la communauté, présentant des risques importants pour les utilisateurs ayant l’intention de télécharger la nouvelle application Eternl Desktop annoncée récemment.

Les pirates créent des e-mails professionnels prétendant promouvoir une solution de portefeuille légitime conçue pour le staking sécurisé de Cardano et la participation à la gouvernance. L'annonce utilise des termes liés aux utilisateurs gagnant des récompenses, y compris les récompenses de jetons NIGHT et ATMA via le programme actuel de giveaway crypto, pour établir la crédibilité et stimuler l'engagement des utilisateurs.

Les pirates ciblent les utilisateurs de portefeuilles Cardano

Selon les rapports, les pirates ont réussi à créer une réplique de l’annonce officielle d’Eternl Desktop, complétée par un message concernant la compatibilité avec les portefeuilles matériels, la gestion locale des clés et un contrôle avancé de la délégation.

L’e-mail présente un ton poli et professionnel, avec une grammaire correcte et aucune erreur d’orthographe visible, ce qui le rend très efficace pour tromper les membres de la communauté Cardano. Parallèlement, il distribue des logiciels malveillants à tout système qu’il infecte.

Les rapports mentionnent que la campagne utilise un domaine nouvellement enregistré, download(dot)eternldesktop(dot)network, pour distribuer un package d’installation malveillant sans nécessiter de vérification officielle ni de validation de signature numérique.

Dans l’analyse technique détaillée réalisée par Anurag, un chasseur de menaces indépendant et analyste de logiciels malveillants, le fichier Eternl.msi légitime contient un outil de gestion à distance LogMeIn Resolve intégré à son package d’installation.

La découverte a exposé une tentative d'abus de la chaîne d'approvisionnement visant à établir un accès non autorisé persistant sur les systèmes des victimes. L'installateur MSI malveillant, d'une taille de 23,3 mégaoctets et avec le hash 8fa4844e40669c1cb417d7cf923bf3e0, dépose un exécutable appelé unattended updater.exe, qui utilise le nom de fichier original GoToResolveUnattendedUpdater.exe.

Lors de l’analyse en temps d’exécution, l’exécutable crée une structure de dossier identifiée sous Program Files du système.

Une fois qu’il crée Program Files, il crée un répertoire et écrit plusieurs configurations, notamment unattended.json, logger.json, mandatory.json et pc.json. Le fichier de configuration unattended.json permet l’accès à distance sans nécessiter l’interaction de l’utilisateur.

L’exécutable déposé tente d’établir des connexions vers une infrastructure associée aux services GoTo Resolve légitimes, y compris devices-iot.console.gotoresolve.com et dumpster.console.gotoresolve.com.

Le logiciel malveillant fournit aux pirates un accès à distance

Selon l’analyse réseau, le logiciel malveillant envoie des informations aux pirates au format JSON. Il utilise également des serveurs distants pour établir un canal de communication pour l’exécution de commandes et la surveillance du système.

Les chercheurs en sécurité indiquent que ce comportement est important car les outils de gestion à distance permettent aux pirates d’exécuter des commandes à distance et de voler des identifiants une fois le logiciel malveillant installé sur le système d’une victime.

La campagne de phishing Cardano montre également comment les pirates utilisent la crypto et l’image de plateformes légitimes pour distribuer des outils infectés par des logiciels malveillants. Cela signifie que les utilisateurs doivent vérifier l’authenticité des logiciels qu’ils utilisent via des canaux officiels. De plus, ils doivent éviter de télécharger des applications de portefeuille depuis des sources non vérifiées ou des domaines nouvellement enregistrés, quel que soit l’apparence convaincante de leurs e-mails de distribution.

Cette campagne de phishing sur Cardano est similaire à celle qui a ciblé les clients utilisant Meta pour la publicité l'année dernière. Les utilisateurs sont attirés par des e-mails prétendant que leurs publicités ont été temporairement suspendues en raison de violations des politiques publicitaires et des réglementations de l'UE.

Les escrocs vont même jusqu’à rendre l’apparence légitime en ajoutant le branding officiel d’Instagram et un langage officiel concernant les violations de politique. Cependant, un examen plus approfondi a montré que les e-mails provenaient d’un domaine différent.

Les chercheurs ont mentionné qu’en cliquant sur le lien, les utilisateurs sont redirigés vers une fausse page Meta Business qui semble convaincante. Le site web imite le véritable site de support, s’ouvrant sur une page qui avertit l’utilisateur que son compte risque d’être résilié s’il ne prend pas d’action immédiate.

Les utilisateurs sont induits en erreur pour saisir leurs identifiants de connexion Ad dans les espaces fournis, le support client les guidant avec des instructions étape par étape fournies pour restaurer leurs comptes.