ソーシャルエンジニアリングキャンペーンが偽スタートアップを通じて暗号通貨ユーザーを標的にしている、レポートによると

Darktraceの研究により、偽スタートアップ企業を通じて暗号通貨ユーザーを標的とする継続的なソーシャルエンジニアリングキャンペーンが明らかになりました。詐欺師は、なりすましソーシャルメディアアカウントを使用して、AI、ゲーム、Web3企業を装っています。

プロジェクトのドキュメントは、NotionやGitHubなどの信頼できるプラットフォームにホストされています。このキャンペーンは2024年12月以降、世界中のWeb3従業員を対象に継続的に変化しています。

偽会社は信頼できる存在感を築くために信頼できるプラットフォームを使用

脅威アクターは、AI、ゲーム、ビデオ会議ソフトウェアをテーマとした偽スタートアップ企業を作成します。Web3およびソーシャルメディア企業の体裁は、暗号通貨ユーザーを特に標的とするために使用されます。これらの運用は、通常認証済みのXアカウントを乗っ取って被害者に連絡するために使用されます。

攻撃者は、ドキュメント作成のためにNotion、Medium、GitHubなどの信頼できるプラットフォームを使用します。プロフェッショナルな外観のウェブサイトには、従業員のプロファイル、製品ブログ、ホワイトペーパー、開発ロードマップが含まれています。Xアカウントは乗っ取られている可能性があり、フォロワー数が多いことが正当性を高める外観に寄与しています。

詐欺師は、ソフトウェア開発の更新を投稿するなど、ソーシャルメディアアカウントで活発に活動しています。製品マーケティングコンテンツは定期的に共有され、キャンペーンはプラットフォーム全体で展開されています。Eternal Decayブロックチェーンゲームは、信頼性を高めるために偽の会議プレゼンテーション写真を作成しました。

攻撃者はイタリアの展示会の写真を改ざんし、それらが会社のプレゼンテーションであるかのように見せかけました。Mediumには偽のソフトウェア製品や会社の開発に関するブログ記事が掲載されています。Notionには詳細な製品ロードマップや包括的な従業員リスト情報が含まれています。

GitHubリポジトリには、盗まれたオープンソースプロジェクトを使用して技術的なソフトウェアの側面が特徴付けられています。リポジトリを独自でオリジナルに見えるようにするためにコード名が変更されています。Companies Houseからの会社登録情報が、同名の会社とリンクされています。

Gitbookには会社情報が詳細に記載され、信頼性を高めるための偽の投資家パートナーシップがリストされています。Zombie Within ゲームから盗まれたゲームプレイ画像が、Eternal Decayのコンテンツとして表示されています。一部の偽会社は、ビジネスの体裁を完成させるために商品販売ストアを設立しています。

これらの要素が組み合わさることで、説得力のあるスタートアップ企業の外観が作成され、感染の成功率が高まります。被害者は、Xメッセージ、Telegram、またはDiscordを通じて従業員から連絡を受けます。偽の労働者は、ソフトウェアテストへの参加に対して暗号通貨の支払いを提供します。

WindowsとmacOSの両方の暗号通貨ウォレットユーザーを対象とするマルウェア

Windows版は、なりすまし従業員から登録コードの入力を要求するElectronアプリを通じて配布されます。ユーザーはソーシャルメディアメッセージングで提供されたコードを入力した後、Binsをダウンロードします。標的システムでのマルウェア実行前にCloudFlareの検証画面が表示されます。

マルウェアは、ユーザー名、CPU詳細、RAM、グラフィックスのシステムプロファイルを収集します。MACアドレスとシステムUUIDは、初期偵察フェーズで収集されます。トークンベースの認証メカニズムは、アプリケーションランチャーURLから派生したトークンを使用します。

盗まれたコード署名証明書はソフトウェアの正当性を高め、セキュリティ検知を回避します。Jiangyin Fengyuan Electronics Co.やPaperbucketmdb ApSなどの会社の証明書が使用されました。Pythonはコマンド実行のために一時ディレクトリに取得され、保存されます。

macOS版は、bashスクリプトとバイナリを含むDMGファイルとして配布されます。スクリプトは、base64エンコーディングやXOR暗号化などの難読化技術を使用します。AppleScriptはマルウェアをマウントし、一時ディレクトリから実行ファイルを自動的に実行します。

macOSマルウェアは、QEMU、VMWare、Docker環境に対する分析回避チェックを実行します。Atomic Stealerは、ブラウザデータ、暗号通貨ウォレット、クッキー、ドキュメントファイルを標的とします。盗まれたデータは圧縮され、POSTリクエストを介してサーバーに送信されます。

追加のbashスクリプトは、ログイン時のLaunch Agent構成を通じて永続性を確立します。マルウェアはアクティブなアプリケーションの使用状況とウィンドウ情報を継続的にログに記録します。ユーザーの対話タイムスタンプは定期的に収集サーバーに記録され、送信されます。

両方のバージョンは、盗難操作のために暗号通貨ウォレットデータを特に標的としています。複数の偽会社が、異なるブランディングとテーマで同一のマルウェアを配布しています。

複数のプラットフォームにわたって識別された偽会社の広範なリスト

Darktraceは、このソーシャルエンジニアリングキャンペーンを通じて運営されている複数の偽会社を明らかにしました。Pollens AIは、Xアカウントや他のウェブサイトを使用して共同作成ツールを装っています。BuzzuはPollensと同じロゴとコードを使用していますが、異なるブランディングで運営されています。

Cloudsignは、ビジネス消費者向けに文書署名プラットフォームサービスを提供していると報告されています。Swoxは、Web3空間の次世代ソーシャルネットワークです。KlastAIは、同じブランディングを備えたPollensのアカウントやサイトと密接に関連しています。

Wasperは、Pollensと同じロゴとGitHubコードをさまざまな領域で使用しています。Luneliorは、特定のユーザーグループにサービスを提供する複数のウェブサイトを通じて運営されています。BeeSyncは、2025年1月のリブランディング以前、Buzzuの別名として運営されていました。

Slaxは、複数のウェブサイト上でソーシャルメディアおよびAI中心のサイトをホストしています。Soluneは、ソーシャルメディアプラットフォームのアクティビティやメッセージングアプリの使用を通じてユーザーにリーチします。Eternal Decayは、合成された会議プレゼンテーションを持つブロックチェーンゲーム企業です。

DexisはSwoxと同じブランドで、同じユーザーベースを共有しています。NexVooは複数のドメインとソーシャルメディアプラットフォームの管理を持っています。NexLoopはGitHubリポジトリの名前変更によりNexoraCoreにリブランディングしました。

YondaAIは、ソーシャルメディアサイトのユーザーやさまざまなウェブサイトのドメインユーザーを標的とします。すべての企業は、実際のプラットフォーム統合手順を通じてプロフェッショナルな前面を持っています。CrazyEvilトラッファーグループは、2021年からこのようなキャンペーンを運営してきました。

Recorded Futureは、CrazyEvilの悪意のある活動からの数百万ドルの収益を概算しています。このグループは、暗号通貨ユーザー、インフルエンサー、DeFi専門家への攻撃の背後にあると言われています。キャンペーンは、正当なビジネスの外観を作成するための広範な努力を示しています。