カスペルスキー、SourceForge上の暗号通貨ユーザーを対象としたアドレス置換マルウェアを発見

セキュリティ企業のカスペルスキーは、ソフトウェアホスティングウェブサイトSourceForgeを通じて暗号通貨ユーザーを対象とした新しいマルウェアについて警告しました。最近の発表で、同社は同サイトのソフトウェアプロジェクト「Office Package」に、暗号通貨ユーザーを対象としたアドレスポイズニングマルウェアが含まれていると述べています。

報告書によると、Office PackageソフトウェアはMicrosoft Officeアドインを含む正規のプロジェクトです。しかし、より詳細な調査により、パッケージには異なるURLへ誘導するダウンロードリンクが含まれていることが明らかになりました。

同社は次のように述べています：

「調査対象のプロジェクトにはドメイン officepackage.sourceforge[.]io が割り当てられていますが、そのドメインにアクセスして表示されるページは、sourceforge.net上のofficepackageとは全く異なります。」

興味深いことに、マルウェアのダウンロードプロセスは非常に複雑で、ユーザーはファイルをダウンロードする前に3つのURLを経由する必要があります。この複雑なプロセスは、ユーザーが正規のアプリケーションをダウンロードしていると信じ込ませるためのスキームの一部と思われます。

カスペルスキーのセキュリティ専門家は、最終的なインストールファイルがinstaller.msiであり、700メガバイトのファイルであると指摘しました。悪意のある行為者は、これが正規のソフトウェアインストーラーのように見えるようにファイルサイズを膨らませました。不要なバイトを取り除くと、実際のサイズは7メガバイトです。

インストーラーを実行すると、ユーザーは意図せず、マイナーとClipBankerという2つの悪意のあるアプリケーションをデバイスにインストールしてしまいます。ClipBankerは、クリップボードにコピーされた暗号通貨アドレスを攻撃者のアドレスに置き換えることでアドレスポイズニングを可能にし、ユーザーが間違ったアドレスに資金を送金する原因となります。

セキュリティ専門家はこう書き記しています。

「このキャンペーンにおける主要な悪意のあるアクションは、2つのAutoItスクリプトの実行に集約されます。Icon.dllはAutoItインタープリターを再起動し、そこにマイナーをインジェクトします。一方、Kape.dllも同様のことを実行しますが、ClipBankerをインジェクトします。」

同時に、彼らは攻撃が主にロシアの標的に向けられていたことも指摘しました。これには、officepackage.sourceforge[.]ioサイトのロシア語インターフェースや、1月から3月下旬の間にマルウェアに遭遇した4,604人のユーザーの90%がロシア人であるという事実が含まれます。

アドレスポイズニング詐欺の増加

カスペルスキーの報告書は、複数のブロックチェーンセキュリティ企業によって報告された、暗号通貨ユーザーに対するアドレスポイズニング攻撃の最近の増加と一致しています。Scam Snifferのデータによると、3月の3番目に大きなフィッシング事件はアドレスポイズニングによるものでした。

Cyversもまた、アドレスポイズニング詐欺により3月の最初の3週間で120万ドル以上の損失が発生し、2月の180万ドルに追加されたと報告しました。同社は、AI脅威検出システムがアドレスポイズニング攻撃の増加を検出したと述べています。

ほとんどのアドレスポイズニング攻撃は、攻撃者が頻繁に使用されるアドレスと類似したアドレスを持つ小規模なトランザクションを手動で送信することで発生しますが、クリップボードからアドレスを変更できる高度なマルウェアの使用は、悪意のある行為者がどのように進化し続けているかを示しています。

セキュリティ専門家は、この問題に対する最善の解決策は、ユーザーが信頼できないソースからソフトウェアをダウンロードしないことだと信じています。彼らは、悪意のある行為者は通常、非公式のソフトウェアウェブサイトを利用して悪意のあるアプリケーションを配布し、そのようなウェブサイトを使用する人々はリスクを認識する必要があると指摘しています。

しかし、彼らは、このマルウェアは感染したシステムへのアクセスを攻撃者に与える革新的な方法を提供するため、さらに大きな問題を示していると指摘しています。したがって、作成者がこれを暗号通貨ユーザーへの標的攻撃だけでなく、より危険な悪意のある行為者への販売に使用することを決定する可能性があります。