カルダノユーザーが新たなウォレットフィッシングキャンペーンの標的に

Cardanoユーザーは現在、新しいウォレットのフィッシングキャンペーンの対象となっている。報告によれば、この洗練されたフィッシングキャンペーンは現在コミュニティ内で流通しており、新しく発表されたEternl Desktopアプリケーションをダウンロードする意図を持つユーザーに重大なリスクをもたらしている。

ハッカーたちは、安全なCardanoステーキングとガバナンス参加のために設計された正規のウォレットソリューションを宣伝するプロフェッショナルなメールを作成する。この発表では、現在の暗号通貨ギブアウェイプログラムを通じてNIGHTおよびATMAトークンの報酬を獲得するといったユーザー報酬に関連する用語を使用し、信頼性を確立してユーザーのエンゲージメントを促進している。

ハッカーたちはCardanoウォレットユーザーを対象としている

報告によれば、ハッカーたちは公式のEternl Desktop発表のレプリカを作成し、ハードウェアウォレットの互換性、ローカルキー管理、高度な委譲制御に関するメッセージを補完することに成功した。

このメールは、適切な文法と目に見えるスペルミスがない洗練されたプロフェッショナルなトーンを示しており、Cardanoコミュニティのメンバーを欺くのに非常に効果的である。一方で、侵入したシステムにはマルウェアを配布する。

報告では、このキャンペーンが公式の検証やデジタル署名の検証を必要とせずに悪意のあるインストーラーパッケージを配布するために、新しく登録されたドメイン download(dot)eternldesktop(dot)network を使用していると述べられている。

独立した脅威ハンターかつマルウェアアナリストであるAnuragによって行われた詳細な技術分析では、正規のEternl.msiファイルには、インストールパッケージ内にLogMeIn Resolveのリモート管理ツールがバンドルされていることが明らかになった。

この発見は、被害者システムへの永続的な不正アクセス確立を目指したサプライチェーンの悪用試行を暴いた。サイズが23.3メガバイト、ハッシュ値が8fa4844e40669c1cb417d7cf923bf3e0の悪意のあるMSIインストーラーは、unattended updater.exeという実行ファイルをドロップし、これは元のファイル名GoToResolveUnattendedUpdater.exeを使用している。

ランタイム分析中、実行ファイルはシステムのProgram Filesの下に識別されたフォルダ構造を作成する。

Program Filesを作成した後、ディレクトリを作成し、unattended.json、logger.json、mandatory.json、pc.jsonを含む複数の設定ファイルを書き込む。unattended.json設定ファイルは、ユーザーの対話なしでリモートアクセス機能を有効にする。

ドロップされた実行ファイルは、legitimateなGoTo Resolve Servicesに関連するインフラストラクチャ、例えばdevices-iot.console.gotoresolve.comおよびdumpster.console.gotoresolve.comへの接続の確試を試みる。

マルウェアはハッカーにリモートアクセスを提供する

ネットワーク分析によれば、マルウェアは情報をJSON形式でハッカーに送信する。また、コマンドの実行とシステムの監視のための通信チャネルを確立するためにリモートサーバーも使用する。

セキュリティ研究者によれば、この動作は重要である。なぜなら、リモート管理ツールは、マルウェアが被害者のシステムにインストールされると、ハッカーがリモートコマンドの実行や資格情報の盗難を実行することを可能にするからである。

このCardanoフィッシングキャンペーンは、ハッカーたちが暗号通貨と正規のプラットフォームのブランディングを利用して、マルウェアに感染したツールを配布する方法も示している。つまり、ユーザーは使用しているソフトウェアの真正性を公式チャネルを通じて確認する必要がある。さらに、配布メールがどれほど良く見えても、未確認のソースや新しく登録されたドメインからウォレットアプリケーションをダウンロードすることを避ける必要がある。

このCardanoフィッシングキャンペーンは、昨年Metaを広告媒体として使用していた顧客を対象としたものと同様である。ユーザーは、広告ポリシーおよびEU規制への違反により広告が一時的に停止されたというメールに引き寄せられる。

詐欺師たちは、公式のInstagramブランディングとポリシー違反に関する公式な響きの言語を追加することで、それを正規のものであるかのように見せかけることさえある。しかし、注意深く検査すると、メールは異なるドメインから送信されていることがわかった。

研究者によれば、リンクをクリックすると、ユーザーは説得力のある偽のMeta Businessページにリダイレクトされる。このウェブサイトは実際のサポートサイトを模倣しており、直ちに行動を起こさないとアカウントが終了する警告を開くページで始まる。

ユーザーは、提供されたスペースにAdのログイン情報を入力するようだまされ、カスタマーサポートがアカウントを復元するためのステップバイステップの指示を提供して案内します。