ロシアのハッカーが偽の求人広告を通じて仮想通貨ウォレットから資金を流出させるGrassCallマルウェアを拡散

ソーシャルエンジニアリング攻撃の一環として、ハッカーがWeb3空間で悪意を持って偽の求人情報を求職者に送りつけていると報じられています。「GrassCall」と呼ばれる怪しいミーティングアプリは最近、ユーザーの仮想通貨ウォレットから資金を奪うマルウェアの拡散に利用されました。.

この詐欺は、「Crazy Evil」として知られるロシアのハッカー集団によって実行されたとされています。このサイバー犯罪集団は、ユーザーを騙してMacやWindows PCに感染したソフトウェアをインストールさせるソーシャルエンジニアリング攻撃を専門としています。. 

Crazy Evilは主に仮想通貨業界の人々を標的にしており、様々なソーシャルメディアサイトを通じて偽の求人情報やゲームを宣伝している。サイバーセキュリティ企業の Recorded Futureは、「ソーシャルメディア上で活動中の10件以上の詐欺行為」がCrazy Evilに関連していると述べている。

ハッカーがChainSeeker.ioという偽の会社に偽の求人を掲載

最近、 報告 によると、今回の会社はChainSeeker.ioという名前だそうです ユーザー。 

によると 報道、脅威アクターはLinkedInにChainSeeker.ioの偽の企業プロフィールを作成し、有料求人情報を掲載していた。偽の求人情報が見つかった他の人気求人サイトには、CryptoJobListやWellFoundなどがある。 

求人に応募した人全員に電子メールで連絡があり、テレグラムで会社のマーケティング責任者に連絡するよう指示された。. 

その後、署長はユーザーに「GrassCall」というビデオ通話アプリを、現在は削除されているウェブサイトからダウンロードするよう要求しました。ウェブサイトはユーザーのブラウザに応じて、MacまたはWindowsのクライアントを提供していました。.

アプリをダウンロードすると、ユーザーはCMOがTelegramチャットで共有したコードを入力するよう求められます。すると、ウェブサイトはMac用の「GrassCall_v.6.10.dmg」[VirusTotal]クライアント、またはWindows用の「GrassCall.exe」[VirusTotal]クライアントを提供します。正しいコードを入力すると、どちらのアプリもRhadamanthys（Windowsの場合）などの情報窃盗型マルウェア、リモートアクセス型トロイの木馬（RAT）、その他のマルウェアをインストールします。Macの場合は、Atomic（AMOS）Stealerマルウェアがインストールされます。.

ウイルスがインストールされると、ウォレットアドレス、認証Cookie、オンラインブラウザとAppleキーチェーンに保存されているパスワードが収集されます。盗まれた情報はサーバーにアップロードされ、悪意のある攻撃者が所有するTelegramチャンネルに投稿されます。. 

ウォレットが発見された場合、ハッカーは総当たり攻撃を用いてパスワードを解読し、ユーザーの資産を奪います。そして、その資産から、何も知らない被害者に悪意のあるアプリをダウンロードさせたユーザーに金銭を支払います。.

公開された支払い情報によると、Crazy Evilのメンバーは被害者1人あたり数万ドルを稼いでいるようだ。.

様々なユーザーが、こうした詐欺的な求人に応募した後の体験談を語っている。LinkedIn ユーザーのは、同プラットフォームに「ほぼあらゆる面から見て、本物そっくりに見えた。ビデオ会議ツールでさえ、オンライン上でほとんど信憑性のある存在感を示していた」と投稿した。

ハッカーたちはソーシャルエンジニアリングの新しいキャンペーンに移行したと報じられている。

サイバーセキュリティ研究者の GonjxaはもdentGatherumと Vibe。Gatherumは、Crazy Evilのサブグループである「Kevland」による以前のキャンペーンで使用されていました。興味深いことに、両アプリのブランディングはGrassCallとほぼ同じですdentを使った新しいキャンペーンに移行しており Vibe、これは現在Web3の求職者の間で広まっています。

この攻撃がネット上で注目を集めたことを受けて、Chain Seeker の求人広告は現在、ほとんどの求人掲示板から削除されたと報じられている。. 

LinkedInの検索結果には、Chainseeker.ioにリンクされた求人情報が表示されなくなりました。同時に、同社のウェブサイトはコミュニティデータベースで不審なサイトとしてフラグ付けされました。さらに、同社従業員のLinkedInアカウントはすべて削除されました。詐欺師とやり取りしたり、デバイスに不審なアプリをインストールしたりしたユーザーは、予防措置として、パスワードと認証トークンを変更し、暗号資産を新しいウォレットに移動することをお勧めします。また、この機能をサポートするすべてのウェブサイトで、認証アプリを介して2要素認証を有効にすることも推奨されます。.