Un'operazione di phishing crittografico codificata dall'intelligenza artificiale prende di mira 885.000 numeri di telefono

Rapid7 Labs ha scoperto l'Operazione ASTERIX, una pipeline di frode nel settore delle criptovalute che sfruttava assistenti di programmazione basati sull'intelligenza artificiale per creare false app Ledger, Trezor ed Exodus.

Il sistema ha abbinato 43.066 numeri di telefono a conti di scambio reali. Qualsiasi utente che gestisca autonomamente le proprie criptovalute è un potenziale bersaglio. L'operazione era ancora in corso quando i ricercatori l'hanno scoperta.

Un server configurato in modo errato ha rivelato l'intero playbook

I ricercatori di Rapid7 Anna Širokova e Jan Recinsky hanno scoperto una directory web esposta all'interno dell'infrastruttura della campagna. Al suo interno si trovavano gli elementi essenziali per un'operazione di frode in corso.

Il rapporto del 17 agosto, redatto dai due, descriveva dettagliatamente la grande quantità di dati sequestrati, tra cui database di numeri di telefono, strumenti di convalida degli account, pannelli di phishing, script di composizione vocale, le stesse applicazioni di portafoglio false e codice per sottrarre i dati rubati tramite Telegram.

La maggior parte di quegli strumenti era ancora in uso o in fase di sviluppo quando sono trapelati. Rapid7 ha affermato di poter contattare fornitori e autorità, incluso il team di sicurezza di Apple, mentre la campagna era in corso.

L'operazione prende il nome da Asterisk, la piattaforma di telefonia open source recuperata dal server. L'operatore ha utilizzato Asterisk per effettuare le chiamate di vishing, o phishing vocale, in concomitanza con le false email di supporto che le vittime avevano già ricevuto.

Nella directory pubblica erano presenti circa 885.000 numeri di telefono, e il file più grande era una raccolta di 316.002 numeri di cellulare tedeschi. Le directory più piccole includevano quelle di Hong Kong, Bulgaria, Regno Unito, Stati Uniti, clienti fintech canadesi e liste relative a Ledger.

Gli operatori hanno quindi confrontato quei numeri tedeschi con un sistema di verifica degli account e hanno confermato che 43.066 erano utenti di piattaforme di scambio di criptovalute. Si tratta di un tasso di successo di circa il 13,6%, quasi uno su sette.

Un ulteriore gruppo di 5.576 numeri è stato associato ad account Binance ed era destinato a essere attaccato. Il rapporto menzionava anche un verificatore Kraken e false email che fingevano di provenire da Crypto.com.

Il numero di target convalidati non corrisponde esattamente ai registri delle attività. I ​​registri recuperati indicano che ci sono state solo 20 ricerche di lead in un arco di tempo di circa due settimane.

Inoltre, sono state inviate sei email di phishing, il che suggerisce che gli operatori abbiano preferito un approccio di targeting lento e mirato, piuttosto che contattare tutti i numeri.

Le app false richiedevano una frase di recupero

Le app imitano Trezor Suite e Ledger Live, con una contraffazione anche di Exodus, e chiedono agli utenti di inserire una frase di recupero di 12-24 parole che controlla un portafoglio hardware.

Quella frase è la chiave maestra per accedere ai fondi, e chiunque la possieda può svuotare il portafoglio. Le frasi rubate sono state poi diffuse tramite Telegram.

Rapid7 ha scoperto che gli assistenti di programmazione basati sull'intelligenza artificiale venivano utilizzati nell'intero processo di sviluppo, e non solo per generare frammenti di codice isolati.

I prompt recuperati, la cronologia della shell e i file di progetto mostrano che l'operatore si affidava a strumenti di intelligenza artificiale per impacchettare le applicazioni Electron , offuscare il codice, correggere le build e preparare il malware per la distribuzione.

Lo strumento utilizzato era GitHub Copilot. Quando un modello ha iniziato a rifiutare alcune parti del lavoro, l'operatore ha cambiato fornitore e ha tentato di aggirare i controlli di sicurezza del modello successivo con un prompt di jailbreak personalizzato, ha affermato Rapid7.

All'inizio di agosto, Trezor ha avvisato 13.689 clienti in seguito a una violazione dei dati del suo partner di spedizione ShipMonk, che ha esposto nomi, indirizzi email, numeri di telefono e indirizzi postali, come Cryptopolitan .

Come e Trezor hanno ricevuto lettere cartacee con codici QR che rimandavano a siti di phishing. Cryptopolitan riportato a febbraio, anche i possessori di Ledger

Hacken, un'azienda specializzata in sicurezza blockchain, ha affermato che il phishing e l'ingegneria sociale hanno rappresentato 306 milioni di dollari dei 482 milioni di dollari di perdite registrate dal settore delle criptovalute nel primo trimestre.