Campagna di ingegneria sociale prende di mira utenti cripto tramite startup false, dice il rapporto

La ricerca di Darktrace rivela una campagna di ingegneria sociale in corso che prende di mira gli utenti cripto attraverso startup false. I truffatori si spacciano per aziende AI, gaming e Web3 utilizzando account social media spoofati.

La documentazione del progetto viene ospitata su piattaforme legittime come Notion e GitHub. La campagna continua a cambiare da dicembre 2024, prendendo di mira i dipendenti del settore Web3 a livello globale.

Le aziende false utilizzano piattaforme legittime per costruire una presenza credibile

Gli attori delle minacce creano aziende startup false con temi relativi ad AI, gaming e software per riunioni video. Le facciate di aziende Web3 e dei social media aiutano a prendere di mira specificamente gli utenti di criptovalute. Queste operazioni utilizzano account X compromessi, tipicamente verificati, per contattare le vittime.

Gli attaccanti utilizzano piattaforme legittime tra cui Notion, Medium e GitHub per la documentazione. I siti web dall'aspetto professionale includono profili dei dipendenti, blog sui prodotti, whitepaper e roadmap di sviluppo. Gli account X sembrano compromessi e contano un numero elevato di follower, il che contribuisce all'apparenza di legittimità.

Gli truffatori rimangono attivi sui social media pubblicando aggiornamenti sullo sviluppo del software. I contenuti di marketing del prodotto vengono condivisi regolarmente mentre le campagne operano su più piattaforme. Il gioco blockchain Eternal Decay ha creato foto false di presentazioni a conferenze per credibilità.

Gli attaccanti hanno persino alterato le foto delle mostre italiane facendole apparire come presentazioni aziendali. Medium ospita post di blog su prodotti software falsi e sviluppi aziendali. Notion contiene dettagliate roadmap di prodotto e informazioni complete sull'elenco dei dipendenti.

I repository di GitHub presentano aspetti tecnici del software utilizzando progetti open-source rubati. I nomi del codice vengono modificati per far apparire i repository unici e originali. Le informazioni sulla registrazione aziendale da Companies House vengono collegate ad aziende con nomi simili.

Gitbook dettagli le informazioni aziendali e elenca partnership false con investitori per credibilità. Immagini di gioco rubate dal gioco Zombie Within appaiono come contenuti di Eternal Decay. Alcune aziende false stabiliscono negozi di merchandising per completare le facciate aziendali.

Questi elementi combinati creano un'apparenza convincente di azienda startup, aumentando i tassi di successo delle infezioni. Le vittime ricevono contatti tramite messaggi X, Telegram o Discord da parte di dipendenti. I lavoratori falsi offrono pagamenti in criptovaluta per la partecipazione ai test del software.

Malware che prende di mira gli utenti di wallet crittografici sia su Windows che su macOS

Le versioni per Windows vengono distribuite tramite app Electron che richiedono codici di registrazione da parte di dipendenti impersonati. I file binari (bins) vengono scaricati dagli utenti dopo l'inserimento dei codici forniti tramite messaggi sui social media. Vengono presentate schermate di verifica di CloudFlare prima dell'esecuzione del malware sui sistemi target.

Il malware raccoglie profili di sistema come nome utente, dettagli della CPU, RAM e grafica. Gli indirizzi MAC e gli UUID di sistema vengono raccolti nelle fasi preliminari di ricognizione. I meccanismi di autenticazione basati su token utilizzano token derivati dagli URL dei launcher delle applicazioni.

I certificati di firma del codice rubati aumentano la legittimità del software ed evitano il rilevamento di sicurezza. Sono stati utilizzati certificati di aziende come Jiangyin Fengyuan Electronics Co. e Paperbucketmdb ApS. Python viene recuperato e memorizzato in directory temporanee per l'esecuzione dei comandi.

Le distribuzioni per macOS vengono rilasciate come file DMG contenenti script bash e binari. Gli script utilizzano tecniche di offuscamento come codifica base64 e crittografia XOR. AppleScript monta il malware ed esegue i file eseguibili dalle directory temporanee automaticamente.

Il malware macOS esegue controlli anti-analisi per ambienti QEMU, VMWare e Docker. Atomic Stealer prende di mira i dati del browser, i wallet crittografici, i cookie e i file di documento. I dati rubati vengono compressi e inviati tramite richieste POST ai server.

Script bash aggiuntivi stabiliscono la persistenza attraverso configurazioni di Launch Agent all'avvio. Il malware registra continuamente l'utilizzo delle applicazioni attive e le informazioni sulle finestre. I timestamp delle interazioni utente vengono registrati e trasmessi ai server di raccolta periodicamente.

Entrambe le versioni prendono di mira specificamente i dati dei wallet crittografici per operazioni di furto. Multiple aziende false distribuiscono lo stesso malware con branding e temi diversi.

Elenco esteso di aziende false identificate su più piattaforme

Darktrace ha rivelato diverse aziende fasulle coinvolte in questa campagna di ingegneria sociale. Pollens AI impersona strumenti di creazione collaborativa utilizzando account X e altri siti web. Buzzu impiega gli stessi loghi e codice di Pollens ma opera con un branding diverso.

Cloudsign è segnalato come fornitore di servizi di piattaforma di firma documenti per consumatori aziendali. Swox è una rete sociale di nuova generazione nello spazio Web3. KlastAI è strettamente collegata agli account e ai siti di Pollens con lo stesso branding.

Wasper utilizza gli stessi loghi e codice GitHub di Pollens in varie aree. Lunelior opera attraverso vari siti web che servono vari gruppi di utenti in modo specifico. BeeSync operava precedentemente come alias di Buzzu prima del suo rebranding nel gennaio 2025.

Slax ospita siti social media e incentrati sull'AI su più siti web. Solune raggiunge gli utenti attraverso l'attività sulle piattaforme social e l'uso di app di messaggistica. Eternal Decay è un'azienda di gaming blockchain con presentazioni di conferenze sintetiche.

Dexis ha lo stesso branding di Swox e condivide la stessa base di utenti. NexVoo ha più domini e gestione delle piattaforme social. NexLoop si è rebrandizzata in NexoraCore rinominando i repository GitHub.

YondaAI prende di mira gli utenti dei siti social e vari utenti di domini di siti web. Ogni azienda ha fronti professionali attraverso procedure di integrazione su piattaforme reali. Il gruppo di traffico CrazyEvil sta operando tali campagne dal 2021.

Record Future stima che i milioni di ricavi di CrazyEvil provengano da attività malevole. Si dice che il gruppo sia dietro gli attacchi agli utenti di criptovalute, agli influencer e ai professionisti DeFi. Le campagne mostrano ampi sforzi per creare apparenze di attività commerciali legittime.