Kaspersky découvre des logiciels malveillants sur SourceForge ciblant les utilisateurs de cryptomonnaies avec des échanges d'adresses
- Kaspersky identifie un nouveau malware se faisant passer pour un plugin Microsoft Office et ciblant les utilisateurs de crypto.
- Le malware installe un mineur et ClipBanker sur les appareils infectés, permettant aux attaquants de corrompre l'adresse crypto copiée dans le presse-papiers.
- L'empoisonnement d'adresses devient l'un des principaux types d'arnaques de phishing dans l'espace crypto.
Le cabinet de sécurité Kaspersky a mis en garde contre de nouveaux logiciels malveillants ciblant les utilisateurs de cryptomonnaies via le site Web d'hébergement de logiciels SourceForge. Dans une publication récente, le cabinet a déclaré que le projet de logiciel sur le site Web, Office Package, contient un logiciel malveillant d'empoisonnement d'adresses ciblant les utilisateurs de cryptomonnaies.
Selon le rapport, le logiciel Office package est un projet légitime contenant des modules complémentaires Microsoft Office. Cependant, une enquête plus approfondie révèle davantage sur le package, car il contient des liens de téléchargement qui mènent à une URL différente.
Il a déclaré :
« Le projet sous investigation a été attribué au domaine officepackage.sourceforge[.]io, mais la page affichée lorsque vous allez sur ce domaine ne ressemble en rien à officepackage sur sourceforge.net. »
De manière intéressante, le processus de téléchargement du logiciel malveillant est assez complexe, les utilisateurs passant par trois URL avant de pouvoir télécharger le fichier. Le processus complexe semble faire partie du schéma pour inciter les utilisateurs à croire qu'ils téléchargent une application authentique.
Les experts en sécurité de Kaspersky ont noté que le fichier d'installation final est installer.msi, un fichier de 700 mégaoctets dont les acteurs malveillants ont gonflé la taille pour lui donner l'apparence d'un installateur de logiciel authentique. Après avoir retiré les octets inutiles, la taille réelle est de sept mégaoctets.
En exécutant l'installateur, les utilisateurs installent involontairement deux applications malveillantes sur leurs appareils, un mineur et un ClipBanker. Le ClipBanker permet l'empoisonnement d'adresses en remplaçant les adresses de cryptomonnaies copiées dans le presse-papiers par celles de l'attaquant, conduisant les utilisateurs à envoyer des fonds aux mauvaises adresses.
Les experts en sécurité ont écrit :
« Les actions malveillantes clés de cette campagne se résument à l'exécution de deux scripts AutoIt. Icon.dll redémarre l'interpréteur AutoIt et y injecte un mineur, tandis que Kape.dll fait de même mais injecte ClipBanker. »
Pendant ce temps, ils ont également noté que l'attaque se concentrait principalement sur les cibles russes. Des signes de cela incluent l'interface russe pour le site officepackage.sourceforge[.]io et le fait que 90 % des 4 604 utilisateurs ont rencontré le logiciel malveillant entre janvier et fin mars sont russes.
Les escroqueries par empoisonnement d'adresses augmentent
Le rapport de Kaspersky correspond à la récente augmentation des attaques par empoisonnement d'adresses sur les utilisateurs de cryptomonnaies, comme l'ont rapporté plusieurs cabinets de sécurité blockchain. Selon les données de Scam Sniffer, la troisième plus grande incident de phishing en mars était due à l'empoisonnement d'adresses.
Cyvers a également signalé que les arnaques par empoisonnement d’adresse ont entraîné une perte de plus de 1,2 million de dollars au cours des trois premières semaines de mars, s’ajoutant aux 1,8 million de dollars enregistrés en février. L’entreprise a indiqué que son système de détection des menaces par IA a identifié une augmentation des attaques par empoisonnement d’adresse.
Bien que la plupart des attaques par empoisonnement d’adresse résultent d’attaquants envoyant manuellement de petites transactions aux victimes avec des adresses similaires à celles qu’ils utilisent fréquemment, l’utilisation de logiciels malveillants sophistiqués permettant aux attaquants de modifier les adresses dans le presse-papiers montre comment les acteurs malveillants continuent d’évoluer.
Les experts en sécurité estiment que la solution numéro un à ce problème consiste pour les utilisateurs à éviter de télécharger des logiciels provenant de sources non fiables. Ils ont noté que les acteurs malveillants exploitent généralement des sites web de logiciels non officiels pour distribuer des applications malveillantes, et que les personnes utilisant ces sites doivent être conscientes de ce risque.
Cependant, ils ont souligné que ce logiciel malveillant pose un problème encore plus important car il offre un moyen ingénieux pour les attaquants d’accéder aux systèmes infectés. Il est donc possible que les créateurs décident de l’utiliser non seulement pour cibler les utilisateurs de cryptomonnaies, mais aussi de le vendre à des acteurs malveillants plus dangereux.
Les esprits les plus brillants du secteur crypto lisent déjà notre newsletter. Vous aussi ? Rejoignez-les.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
