Campagne d'ingénierie sociale ciblant les utilisateurs de cryptomonnaies via de fausses startups, selon un rapport

Les recherches de Darktrace révèlent une campagne d'ingénierie sociale continue ciblant les utilisateurs de cryptomonnaies via de fausses entreprises de startups. Les escrocs se font passer pour des entreprises d'IA, de jeux vidéo et de Web3 en utilisant des comptes de réseaux sociaux usurpés.

La documentation du projet est hébergée sur des plateformes légitimes comme Notion et GitHub. La campagne continue d'évoluer depuis décembre 2024, ciblant les employés du Web3 dans le monde entier.

Les fausses entreprises utilisent des plateformes légitimes pour bâtir une présence crédible

Les acteurs malveillants créent de fausses entreprises de startups avec des thèmes liés à l'IA, aux jeux vidéo et aux logiciels de visioconférence. Les façades d'entreprises Web3 et de médias sociaux aident à cibler spécifiquement les utilisateurs de cryptomonnaies. Ces opérations utilisent des comptes X compromis, généralement vérifiés, pour contacter les victimes.

Les attaquants utilisent des plateformes légitimes, notamment Notion, Medium et GitHub, pour la documentation. Les sites web au look professionnel incluent des profils d'employés, des blogs produits, des livres blancs et des feuilles de route de développement. Les comptes X semblent compromis, avec un nombre d'abonnés plus élevé ajoutant à l'apparence de légitimité.

Les escrocs restent actifs sur les réseaux sociaux en publiant des mises à jour de développement logiciel. Le contenu marketing produit est partagé régulièrement tandis que les campagnes opèrent sur plusieurs plateformes. Le jeu blockchain Eternal Decay a créé de fausses photos de présentations de conférences pour gagner en crédibilité.

Les attaquants ont même modifié des photos d'expositions italiennes pour les faire passer pour des présentations d'entreprise. Medium héberge des articles de blog sur de faux produits logiciels et des développements d'entreprise. Notion contient des feuilles de route de produits détaillées et des informations complètes sur les employés.

Les dépôts GitHub présentent des aspects techniques du logiciel en utilisant des projets open-source volés. Les noms de code sont modifiés pour donner aux dépôts une apparence unique et originale. Les informations d'enregistrement de l'entreprise issues de Companies House sont liées à des entreprises portant des noms similaires.

Gitbook détaille les informations de l'entreprise et liste de faux partenariats d'investisseurs pour la crédibilité. Des images de gameplay volées au jeu Zombie Within apparaissent comme du contenu Eternal Decay. Certaines fausses entreprises créent des boutiques de merchandising pour compléter leur façade commerciale.

Ces éléments combinés créent des apparences convaincantes d'entreprises de startups, augmentant les taux de réussite des infections. Les victimes reçoivent des contacts via des messages X, Telegram ou Discord provenant d'employés. De faux travailleurs proposent des paiements en cryptomonnaie pour participer aux tests de logiciels.

Malware ciblant les utilisateurs de portefeuilles cryptos sur Windows et macOS

Les versions Windows sont distribuées via des applications Electron qui exigent des codes d'inscription de la part d'employés usurpés. Les fichiers binaires sont téléchargés par les utilisateurs après l'entrée des codes, fournis via des messages sur les réseaux sociaux. Des écrans de vérification CloudFlare sont présentés avant l'exécution du malware sur les systèmes cibles.

Le malware recueille des profils système incluant le nom d'utilisateur, les détails du CPU, la RAM et les graphiques. Les adresses MAC et les UUID système sont recueillis lors des phases de reconnaissance préliminaires. Les mécanismes d'authentification basés sur les jetons utilisent des tokens dérivés des URL des lanceurs d'applications.

Les certificats de signature de code volés augmentent la légitimité du logiciel et permettent d'éviter la détection de sécurité. Des certificats d'entreprises comme Jiangyin Fengyuan Electronics Co. et Paperbucketmdb ApS ont été utilisés. Python est récupéré et stocké dans des répertoires temporaires pour l'exécution de commandes.

Les distributions macOS sont publiées sous forme de fichiers DMG contenant des scripts bash et des binaires. Les scripts utilisent des techniques d'obfuscation comme le codage base64 et le chiffrement XOR. AppleScript monte le malware et exécute automatiquement les exécutables depuis des répertoires temporaires.

Le malware macOS effectue des vérifications anti-analyse pour les environnements QEMU, VMWare et Docker. Atomic Stealer cible les données des navigateurs, les portefeuilles cryptos, les cookies et les fichiers de documents. Les données volées sont compressées et envoyées via des requêtes POST aux serveurs.

Des scripts bash supplémentaires établissent la persistance via des configurations d'agent de lancement au démarrage. Le malware enregistre continuellement l'utilisation des applications actives et les informations sur les fenêtres. Les horodatages des interactions utilisateur sont enregistrés et transmis périodiquement aux serveurs de collecte.

Les deux versions ciblent spécifiquement les données des portefeuilles de cryptomonnaies pour des opérations de vol. Plusieurs fausses entreprises distribuent un malware identique avec différentes marques et thèmes.

Liste exhaustive de fausses entreprises identifiées sur plusieurs plateformes

Darktrace a révélé plusieurs fausses entreprises opérant dans le cadre de cette campagne d'ingénierie sociale. Pollens AI se fait passer pour des outils de création collaborative en utilisant des comptes X et d'autres sites web. Buzzu utilise les mêmes logos et codes que Pollens mais opère sous une marque différente.

Cloudsign est signalé comme fournissant des services de plateforme de signature de documents aux consommateurs professionnels. Swox est un réseau social de nouvelle génération dans l'espace Web3. KlastAI est étroitement lié aux comptes et sites de Pollens portant la même marque.

Wasper utilise les mêmes logos et le même code GitHub que Pollens dans divers domaines. Lunelior opère via divers sites web servant divers groupes d'utilisateurs spécifiquement. BeeSync a précédemment opéré sous le nom de Buzzu avant son rebranding en janvier 2025.

Slax héberge des sites sociaux et centrés sur l'IA sur plusieurs sites web. Solune atteint les utilisateurs par l'activité sur les plateformes de réseaux sociaux et l'utilisation d'applications de messagerie. Eternal Decay est une entreprise de jeux blockchain avec des présentations de conférences synthétiques.

Dexis est marqué de la même marque que Swox et partage la même base d'utilisateurs. NexVoo possède plusieurs domaines et gère les plateformes de réseaux sociaux. NexLoop s'est rebrandé en NexoraCore en renommant les dépôts GitHub.

YondaAI cible les utilisateurs de sites de réseaux sociaux et les utilisateurs de divers domaines de sites web. Chaque entreprise a des façades professionnelles grâce à des procédures d'intégration de plateformes réelles. Le groupe de trafiquants CrazyEvil mène ce type de campagnes depuis 2021.

Recorded Future estime les millions de revenus de CrazyEvil provenant d'activités malveillantes. Le groupe serait à l'origine des attaques contre les utilisateurs de cryptomonnaies, les influenceurs et les professionnels de la DeFi. Les campagnes montrent des efforts étendus pour donner une apparence d'entreprise légitime.