Utenti di Cardano presi di mira in una nuova campagna di phishing del portafoglio

Gli utenti di Cardano sono attualmente presi di mira in una nuova campagna di phishing del portafoglio. Secondo i rapporti, la sofisticata campagna di phishing è attualmente in circolazione nella comunità, rappresentando rischi significativi per gli utenti che intendono scaricare la nuova applicazione Eternl Desktop annunciata.

Gli hacker creano email professionali che sostengono di promuovere una soluzione di portafoglio legittima progettata per lo staking sicuro di Cardano e la partecipazione alla governance. L'annuncio utilizza termini relativi agli utenti che guadagnano ricompense, inclusi NIGHT e le ricompense in token ATMA attraverso l'attuale programma di giveaway crypto, per stabilire credibilità e guidare l'engagement degli utenti.

Gli hacker prendono di mira gli utenti del portafoglio Cardano

Secondo i rapporti, gli hacker sono riusciti a creare una replica dell'annuncio ufficiale di Eternl Desktop, completandolo con un messaggio sulla compatibilità con i portafogli hardware, la gestione locale delle chiavi e il controllo avanzato della delega.

L'email mostra un tono professionale e curato, con una grammatica corretta e nessun errore di ortografia visibile, rendendola molto efficace nel ingannare i membri della comunità Cardano. Nel frattempo, distribuisce malware a qualsiasi sistema in cui entra.

I rapporti hanno menzionato che la campagna utilizza un dominio appena registrato, download(dot)eternldesktop(dot)network, per distribuire un pacchetto installer malevolo senza la necessità di una verifica ufficiale o di una convalida della firma digitale.

Nell'analisi tecnica dettagliata condotta da Anurag, un cacciatore di minacce indipendente e analista di malware, il file legittimo Eternl.msi contiene uno strumento di gestione remota LogMeIn Resolve nascosto all'interno del suo pacchetto di installazione.

La scoperta ha esposto un tentativo di abuso della catena di approvvigionamento volto a stabilire un accesso non autorizzato persistente sui sistemi delle vittime. L'installer MSI malevolo, di dimensioni 23,3 megabyte e con hash 8fa4844e40669c1cb417d7cf923bf3e0, rilascia un eseguibile chiamato unattended updater.exe, che utilizza il nome file originale GoToResolveUnattendedUpdater.exe.

Durante l'analisi in runtime, l'eseguibile crea una struttura di cartelle identificata sotto Program Files del sistema.

Una volta create le Program Files, crea una directory e scrive più configurazioni, tra cui unattended.json, logger.json, mandatory.json e pc.json. Il file di configurazione unattended.json abilita la funzionalità di accesso remoto senza la necessità che l'utente interagisca.

L'eseguibile rilasciato tenta di stabilire connessioni con infrastrutture associate ai legittimi GoTo Resolve Services, tra cui devices-iot.console.gotoresolve.com e dumpster.console.gotoresolve.com.

Il malware fornisce agli hacker l'accesso remoto

Secondo l'analisi di rete, il malware invia informazioni agli hacker in formato JSON. Utilizza anche server remoti per stabilire un canale di comunicazione per l'esecuzione di comandi e il monitoraggio del sistema.

I ricercatori di sicurezza dicono che questo comportamento è importante perché gli strumenti di gestione remota permettono agli hacker di eseguire comandi remoti e rubare le credenziali una volta che il malware è installato sul sistema di una vittima.

La campagna di phishing di Cardano mostra anche come gli hacker utilizzino la crypto e il branding di piattaforme legittime per distribuire strumenti infettati da malware. Ciò significa che gli utenti devono verificare l'autenticità del software che utilizzano attraverso canali ufficiali. Inoltre, devono evitare di scaricare applicazioni portafoglio da fonti non verificate o domini appena registrati, indipendentemente da quanto appaiano affidabili le email di distribuzione.

Questa campagna di phishing di Cardano è simile a quella che ha preso di mira i clienti utilizzando Meta per la pubblicità l'anno scorso. Gli utenti vengono attirati da email che sostengono che le loro pubblicità sono state sospese temporaneamente a causa di violazioni delle politiche pubblicitarie e delle normative UE.

Gli truffatori arrivano persino a renderlo apparentemente legittimo aggiungendo il branding ufficiale di Instagram e un linguaggio ufficiale sulle violazioni delle policy. Tuttavia, un'ispezione più attenta ha mostrato che le email provenivano da un dominio diverso.

I ricercatori hanno menzionato che facendo clic sul link, gli utenti vengono reindirizzati a una falsa pagina di Meta Business che sembra convincente. Il sito web imita il vero sito di supporto, aprendosi con una pagina che avvisa l'utente che il suo account rischia la chiusura se non intraprende azioni immediate.

Gli utenti vengono indotti a inserire le credenziali di accesso alla loro pubblicità negli spazi forniti, con il supporto clienti che li guida con istruzioni passo-passo fornite per ripristinare i loro account.