Kaspersky scopre malware su SourceForge che prende di mira gli utenti crypto con swap di indirizzi
- Kaspersky identifica un nuovo malware camuffato da plugin per Microsoft Office che prende di mira gli utenti crypto.
- Il malware installerà un miner e ClipBanker sui dispositivi infetti, consentendo agli attaccanti di avvelenare l'indirizzo crypto copiato negli appunti.
- L'avvelenamento degli indirizzi è in crescita come una delle principali tipologie di truffe phishing nel settore crypto.
L'azienda di sicurezza Kaspersky ha avvisato di un nuovo malware che prende di mira gli utenti crypto attraverso il sito web di hosting software SourceForge. In una recente pubblicazione, l'azienda ha affermato che il progetto software sul sito, Office Package, contiene un malware di avvelenamento degli indirizzi che prende di mira gli utenti crypto.
Secondo il rapporto, il software Office package è un progetto legittimo contenente add-in di Microsoft Office. Tuttavia, un'indagine più approfondita rivela di più sul pacchetto, poiché contiene link di download che portano a un URL diverso.
Ha dichiarato:
"Il progetto sotto indagine ha assegnato il dominio officepackage.sourceforge[.]io, ma la pagina visualizzata quando si va a quel dominio non assomiglia affatto a officepackage su sourceforge.net."
Curiosamente, il processo di download del malware è piuttosto complesso, con gli utenti che passano attraverso tre URL prima di poter scaricare il file. Il processo complesso sembra essere parte dello schema per indurre gli utenti a credere di scaricare un'applicazione genuina.
Gli esperti di sicurezza di Kaspersky hanno notato che il file di installazione finale è installer.msi, un file da 700 megabyte che i cattivi attori hanno gonfiato per farlo sembrare un installer software autentico. Dopo aver rimosso i byte di scarto, la dimensione reale è di sette megabyte.
Eseguendo l'installer, gli utenti installano involontariamente due applicazioni malevole sui loro dispositivi, un miner e un ClipBanker. Il ClipBanker consente l'avvelenamento degli indirizzi sostituendo gli indirizzi crypto copiati negli appunti con quelli dell'attaccante, portando gli utenti a inviare fondi agli indirizzi sbagliati.
Gli esperti di sicurezza hanno scritto:
"Le azioni malevole chiave in questa campagna si riducono all'esecuzione di due script AutoIt. Icon.dll riavvia l'interprete AutoIt e inietta un miner in esso, mentre Kape.dll fa lo stesso ma inietta ClipBanker."
Nel frattempo, hanno anche notato che l'attacco si è concentrato principalmente su obiettivi russi. Segni di questo includono l'interfaccia russa per il sito officepackage.sourceforge[.]io e il fatto che il 90% degli 4.604 utenti che hanno incontrato il malware tra gennaio e fine marzo sono russi.
Aumentano le truffe di avvelenamento degli indirizzi
Il rapporto di Kaspersky corrisponde con il recente aumento degli attacchi di avvelenamento degli indirizzi agli utenti crypto, come riportato da diverse aziende di sicurezza blockchain. Secondo i dati di Scam Sniffer, il terzo più grande incidente di phishing a marzo è stato dovuto all'avvelenamento degli indirizzi.
Cyvers ha anche riportato che le truffe di avvelenamento degli indirizzi hanno causato una perdita di oltre 1,2 milioni di dollari nelle prime tre settimane di marzo, aggiungendosi ai 1,8 milioni di dollari di febbraio. L'azienda ha affermato che il suo sistema di rilevamento delle minacce basato sull'IA ha identificato un aumento degli attacchi di avvelenamento degli indirizzi.
Mentre la maggior parte degli attacchi di avvelenamento degli indirizzi deriva da attaccanti che inviano manualmente piccole transazioni alle vittime con indirizzi simili a quelli che usano frequentemente, l'uso di malware sofisticato che consente agli attaccanti di cambiare gli indirizzi dagli appunti mostra come i cattivi attori continuino a evolversi.
Gli esperti di sicurezza credono che la soluzione numero uno a questo problema sia per gli utenti evitare di scaricare software da fonti non fidate. Hanno notato che i cattivi attori di solito sfruttano i siti web di software non ufficiali per distribuire applicazioni malevole, e le persone che utilizzano tali siti web devono essere consapevoli di quel rischio.
Tuttavia, hanno notato che questo malware presenta un problema ancora più grande, in quanto offre un modo innovativo per gli attaccanti di accedere ai sistemi infetti. Pertanto, esiste la possibilità che i creatori decidano di utilizzarlo non solo per prendere di mira gli utenti di criptovalute, ma di venderlo anche ad attori malintenzionati più pericolosi.
Non limitarti a leggere le notizie sulle criptovalute. Comprendile. Iscriviti alla nostra newsletter. È gratuita.
Dichiarazione di responsabilità. Le informazioni fornite non costituiscono consigli di trading. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti effettuati sulla base delle informazioni fornite in questa pagina. Si consiglia vivamente di effettuare ricerche indipendenti e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
