L'arnaque GreedyBear via des extensions Firefox a volé 1 M$ de crypto : Koi Security
- Le scam GreedyBear, récemment exposé, a déployé 150 extensions Firefox pour voler les identifiants crypto.
- L'infrastructure de l'attaque comprend 500 exécutables malveillants et des sites web frauduleux.
- La campagne coordonnée a volé plus d'un million de dollars aux utilisateurs de cryptomonnaies.
Le groupe d'arnaque GreedyBear a volé plus d'un million de dollars en cryptomonnaies grâce à une campagne d'attaques coordonnée.
Koi Security a signalé que le groupe a lancé 150 extensions Firefox armées, ainsi que 500 exécutables malveillants. L'opération a utilisé des extensions de portefeuille factices, des sites web de phishing et des logiciels malveillants pour cibler les utilisateurs crypto sur plusieurs plateformes.
La fraude par extension Firefox cible les portefeuilles crypto populaires
L'arnaque GreedyBear a lancé plus de 150 extensions malveillantes sur le magasin Firefox ciblant les utilisateurs de cryptomonnaies. Les extensions malveillantes imitent des portefeuilles populaires comme MetaMask, TronLink, Exodus et Rabby Wallet. Les extensions copient toutes les interfaces de portefeuille légitimes pour pirater les identifiants des utilisateurs lorsque ceux-ci tentent de se connecter.
Les hackers produisent initialement des extensions ayant l'air légitimes, comme des nettoyeurs de liens et des téléchargeurs YouTube, avec des fonctionnalités limitées. Avec une série de 5 à 7 utilitaires génériques portant de nouveaux noms d'éditeur, ils établissent généralement une crédibilité à long terme.
Une fois que les criminels ont bâti la confiance grâce à de véritables avis positifs, ils vident complètement ces extensions. Ils modifient les noms et les icônes, injectent du code nuisible mais conservent l'historique des avis positifs originaux. Cette méthode permet aux extensions nuisibles d'apparaître dignes de confiance aux nouveaux utilisateurs naviguant sur le marché.
Les extensions servent d'instruments pour obtenir les identifiants des portefeuilles à partir des champs de saisie dans leurs fenêtres contextuelles. Les informations volées sont transmises à des serveurs distants contrôlés par le groupe criminel pour exploitation ultérieure. Les extensions transmettent également les adresses IP des victimes au démarrage pour le suivi.
Cette action fait suite à l'activité précédente de Foxy Wallet qui avait identifié 40 extensions malveillantes. L'ampleur a maintenant plus que doublé par rapport au cas initial. Les rapports des utilisateurs confirment que les victimes ont perdu une valeur significative de cryptomonnaies en utilisant ces extensions de portefeuille factices sur différentes périodes.
Une attaque multiplateforme combine logiciels malveillants et sites d'arnaque
L'arnaque GreedyBear opère près de 500 exécutables Windows malveillants parallèlement à sa campagne d'extensions de navigateur. Ces programmes se propagent via des sites web russes qui distribuent des logiciels crackés et piratés à des utilisateurs inconscients. La collection de logiciels malveillants couvre plusieurs catégories de menaces pour un potentiel de dommage maximal.
Les voleurs d'identifiants comme LummaStealer ciblent les informations des portefeuilles crypto stockées sur les ordinateurs des victimes. Les variantes de rançongiciels chiffrent les fichiers des utilisateurs et exigent des paiements en cryptomonnaie pour les clés de déchiffrement. Les chevaux de Troie génériques fournissent un accès en arrière-plan pour la livraison de charges utiles supplémentaires si nécessaire.
Le groupe maintient également une infrastructure de sites de services crypto impersonnels pour le vol de données. Les sites d'arnaque ressemblent à de véritables services crypto et ne sont pas des pages de phishing typiques. Les portefeuilles matériels de la marque Jupiter contiennent également des maquettes d'interface falsifiées pour tromper les acheteurs potentiels et les inciter à révéler leurs détails de paiement.
Un autre exemple cité dans le rapport concerne des sites web de réparation de portefeuilles qui prétendent réparer les produits Trezor endommagés pour les clients frustrés. Les sites impersonnels récoltent les mots de récupération des portefeuilles et les clés privées tout en se faisant passer pour le support technique. Certains domaines sont actifs tandis que d'autres sont dormants, attendant des attaques ciblées à l'avenir.
La variété des méthodes d'attaque montre que l'arnaque GreedyBear exploite un large pipeline de distribution plutôt que de se concentrer sur une seule technique. Cette approche diversifiée permet au groupe de changer de tactiques en fonction de ce qui fonctionne le mieux. La réutilisation de l'infrastructure à travers différentes familles de logiciels malveillants confirme une coordination centralisée derrière tous les composants de la campagne.
Un serveur centralisé contrôle les opérations de vol mondiales
GreedyBear exploite toute son entreprise criminelle via une seule adresse IP, 185.208.156.66. Presque tous les domaines utilisés à travers les extensions, les charges utiles malveillantes et les sites de phishing se connectent à ce serveur central. Ce hub gère les communications de commande et de contrôle, la collecte d'identifiants, la coordination des rançongiciels et l'hébergement de sites d'arnaque.
L'infrastructure centralisée permet aux attaquants de rationaliser les opérations sur plusieurs canaux d'attaque de manière efficace. Les données provenant des extensions de navigateur, des infections par logiciels malveillants et des victimes de sites web convergent toutes vers le même point de collecte. Cette approche simplifie la gestion tout en fournissant des renseignements complets sur les victimes ciblées.
Koi Security a découvert que le groupe a déjà commencé à s'étendre au-delà des navigateurs Firefox. Une extension Chrome malveillante appelée Filecoin Wallet a utilisé des méthodes identiques de vol d'identifiants il y a quelques mois. Cette extension Chrome communiquait avec des domaines hébergés sur la même infrastructure de serveur 185.208.156.66.
La connexion confirme que GreedyBear teste des opérations sur différents écosystèmes de navigateurs. Chrome, Edge et d'autres navigateurs seront probablement confrontés à des campagnes d'extensions similaires dans les mois à venir. La volonté du groupe d'expérimenter sur différentes plateformes montre son engagement à développer ses opérations.
Selon l'analyse du code, les outils d'IA ont contribué à accélérer la croissance et la complexité de la campagne. Les artefacts générés dans les logiciels malveillants suggèrent que l'intelligence artificielle assiste à la création et à la mise à l'échelle des charges utiles. Cette technologie permet des cycles de développement plus rapides et une meilleure évasion des systèmes de détection de sécurité sur différentes plateformes.
Si vous lisez ceci, vous êtes déjà en avance. Restez ainsi grâce à notre newsletter.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
Vignesh Karunanidhi
Vignesh est rédacteur de contenu crypto, journaliste crypto, éditeur de contenu et gestionnaire des médias sociaux. Il a travaillé avec Watcher.guru, BeInCrypto, CoinGape, Milkroad et Airdrops pendant plus de 6 ans. Ses compétences dans la couverture des actualités technologiques, robotiques, commerciales et de l'IA ont été affinées grâce à un master en commerce.
