GreedyBear詐欺がFirefox拡張機能を通じて暗号通貨から100万ドルを盗んだ：Koi Security

GreedyBear詐欺グループは、協調的な攻撃キャンペーンを通じて100万ドル以上の暗号通貨を盗みました。

Koi Securityは、このグループが150の武器化されたFirefox拡張機能と、500の悪意ある実行ファイルを追加で起動したと報告しました。この作戦は、偽のウォレット拡張機能、フィッシングウェブサイト、マルウェアを使用して、複数のプラットフォームにわたって暗号通貨ユーザーを対象としました。

Firefox拡張機能の不正行為が人気暗号通貨ウォレットを狙う

GreedyBear詐欺は、Firefoxストア上で暗号通貨ユーザーを対象とした150以上の悪意ある拡張機能を起動しました。これらの悪意ある拡張機能は、MetaMask、TronLink、Exodus、Rabby Walletなどの人気ウォレットを装っています。拡張機能はすべて正規のウォレットインターフェースをコピーし、ユーザーがログインしようとした際にユーザー資格情報を乗っ取ります。

ハッカーたちは当初、リンクのサニタイザーやYouTubeダウンローダーなど、限られた機能を持つ本物に見える拡張機能を作成します。5〜7種類の汎用ユーティリティを新鮮な出版社名で並べることで、彼らは通常、長期的な信頼性を確立します。

犯罪者が本物の肯定的なレビューを通じて信頼を築くと、彼らはこれらの拡張機能を完全に空にします。名前、アイコンを変更し、有害なコードを注入しますが、元の肯定的なレビュー履歴は保持されます。この手法により、有害な拡張機能はマーケットプレイスを閲覧する新規ユーザーにとって信頼できるものに見えます。

拡張機能は、ポップアップウィンドウの入力フィールドからウォレット資格情報を取得するための手段として機能します。盗まれた情報は、犯罪グループが制御するリモートサーバーに送信され、後ほど悪用されます。拡張機能は起動時に被害者のIPアドレスも送信し、追跡を行います。

この行動は、40の悪意ある拡張機能を特定した以前のFoxy Wallet活動の後継です。範囲は最初のケースから2倍以上に拡大しました。ユーザーからの報告により、被害者がこれらの偽のウォレット拡張機能を異なる期間にわたって使用したことで、大きな暗号通貨の価値を失ったことが確認されています。

マルウェアと詐欺ウェブサイトを組み合わせたマルチプラットフォーム攻撃

GreedyBear は、ブラウザ拡張機能キャンペーンと並行して、ほぼ500の悪意のあるWindows実行ファイルを運用している。これらのプログラムは、無邪気なユーザーにクラック版や海賊版ソフトウェアを配布するロシアのウェブサイトを通じて拡散する。マルウェアコレクションは最大限の被害をもたらすため、複数の脅威カテゴリにわたっている。

LummaStealerのような資格情報窃盗ツールは、被害者のコンピュータに保存された暗号通貨ウォレット情報を狙います。ランサムウェアのバリアントはユーザーファイルを暗号化し、復号鍵との引き換えに暗号通貨の支払いを要求します。一般的なトロイの木馬は、必要に応じて追加のペイロード配信のためのバックドアアクセスを提供します。

グループはまた、データ窃盗のためのなりすまし暗号通貨サービスサイトのインフラストラクチャを維持しています。詐欺サイトは本物に見える暗号通貨サービスであり、典型的なフィッシングページではありません。Jupiterブランドのハードウェアウォレットにも、潜在的な購入者を騙して支払い詳細を明らかにさせるために偽造されたインターフェースのモックアップが含まれています。

レポートで引用された別の例は、苛立った顧客のために損傷したTrezor製品を修理すると主張するウォレット修理ウェブサイトです。なりすましウェブサイトは、技術サポートを装ってウォレットの回復用フレーズや秘密鍵を収集します。一部のドメインはアクティブですが、他のドメインは休眠しており、将来の標的型攻撃を待っています。

攻撃方法の多様性は、GreedyBear詐欺が単一の技術に焦点を当てるのではなく、広範な配布パイプラインを運用していることを示しています。この多様なアプローチにより、グループは最も効果的な手法に基づいて戦術をシフトできます。異なるマルウェアファミリー間でインフラストラクチャを再利用することは、すべてのキャンペーンコンポーネントの背後に集中した調整があることを確認しています。

集中型サーバーがグローバルな窃盗操作を制御

GreedyBearは、185.208.156.66の単一のIPアドレスを通じて、犯罪事業全体を運用しています。拡張機能、マルウェアペイロード、フィッシングサイト全体で使用されるほぼすべてのドメインが、この中央サーバーに接続しています。このハブは、コマンド・アンド・コントロール通信、資格情報の収集、ランサムウェアの調整、および詐欺サイトのホスティングを処理します。

集中型インフラストラクチャにより、攻撃者は複数の攻撃チャネルにわたる操作を効率的に合理化できます。ブラウザ拡張機能、マルウェア感染、ウェブサイト被害者からのデータはすべて、同じ収集ポイントに流れ込みます。このアプローチは管理を簡素化すると同時に、標的被害者に関する包括的なインテリジェンスを提供します。

Koi Securityは、グループがすでにFirefoxブラウザを超えて拡大し始めていることを発見しました。Filecoin Walletという名前の悪意あるChrome拡張機能は、数ヶ月前に同じ資格情報窃盗手法を使用しました。このChrome拡張機能は、同じ185.208.156.66サーバーインフラストラクチャ上にホストされたドメインと通信しました。

この接続は、GreedyBearが異なるブラウザエコシステム間で操作をテストしていることを確認しています。Chrome、Edge、および他のブラウザは、今後数ヶ月で同様の拡張機能キャンペーンに直面する可能性があります。グループがプラットフォーム全体で実験する意欲は、その事業の拡大へのコミットメントを示しています。

コード分析によると、AIツールはキャンペーンの成長と複雑化を加速するのに役立っています。マルウェアに生成されたアーティファクトは、人工知能がペイロードの作成とスケーリングを支援していることを示唆しています。この技術により、開発サイクルが高速化され、異なるプラットフォーム全体でセキュリティ検出システムをより効果的に回避できます。