GreedyBear 사기, Firefox 확장 프로그램을 통해 암호화폐 100만 달러 탈취: Koi Security

GreedyBear 사기 그룹은 조정된 공격 캠페인을 통해 100만 달러 이상의 암호화폐를 탈취했다.

Koi Security는 이 그룹이 500개의 악성 실행 파일 외에도 150개의 무장화된 Firefox 확장 프로그램을 출시했다고 보고했다. 이 작전은 가짜 지갑 확장 프로그램, 피싱 웹사이트 및 악성 코드를 사용하여 여러 플랫폼의 암호화폐 사용자를 표적으로 삼았다.

Firefox 확장 프로그램 사기, 인기 암호화폐 지갑 표적

GreedyBear 사기는 암호화폐 사용자를 표적으로 삼는 Firefox 스토어에 150개 이상의 악성 확장 프로그램을 출시했다. 이 악성 확장 프로그램은 MetaMask, TronLink, Exodus 및 Rabby Wallet과 같은 인기 지갑을 사칭한다. 모든 확장 프로그램은 합법적인 지갑 인터페이스를 복사하여 사용자가 로그인하려고 할 때 사용자 자격 증명을 탈취한다.

해커들은 처음에는 제한된 기능을 가진 링크 정화기 및 YouTube 다운로드기처럼 보이는 실제 확장 프로그램을 생성한다. 신선한 발행자 이름을 가진 5-7개의 일반 유틸리티 라인업으로 그들은 일반적으로 장기적으로 신뢰성을 확립한다.

범죄자들이 실제 긍정적인 리뷰를 통해 신뢰를 구축한 후, 그들은 이러한 확장 프로그램을 완전히 비운다. 그들은 이름, 아이콘을 변경하고 해로운 코드를 주입하지만 원래의 긍정적인 리뷰 기록을 유지한다. 이 방법은 시장 공간을 탐색하는 새로운 사용자에게 해로운 확장 프로그램이 신뢰할 수 있도록 한다.

확장 프로그램은 팝업 창에서 입력 필드에서 지갑 자격 증명을 얻는 도구로 작동한다. 훔친 정보는 나중에 착취하기 위해 범죄 그룹이 통제하는 원격 서버로 전송된다. 확장 프로그램은 시작 시 피해자의 IP 주소도 전송하여 추적을 가능하게 한다.

이 조치는 40개의 악성 확장 프로그램을 식별한 이전 Foxy Wallet 활동의 후속 조치이다. 범위는 초기 사례보다 두 배 이상 증가했다. 사용자 보고서는 피해자들이 이러한 가짜 지갑 확장 프로그램을 다른 간격으로 사용함으로써 상당한 암호화폐 가치를 잃었음을 확인한다.

멀티 플랫폼 공격은 악성 코드와 사기 웹사이트를 결합

GreedyBear 사기는 브라우저 확장 프로그램 캠페인과 함께 거의 500개의 악성 Windows 실행 파일을 운영한다. 이 프로그램들은 unsuspecting 사용자에게 크랙 및 불법 소프트웨어를 배포하는 러시아 웹사이트를 통해 확산된다. 악성 코드 컬렉션은 최대의 피해 잠재력을 위해 여러 위협 범위에 걸쳐 있다.

LummaStealer와 같은 자격 증명 탈취기는 피해자 컴퓨터에 저장된 암호화폐 지갑 정보를 표적으로 삼는다. 랜섬웨어 변종은 사용자 파일을 암호화하고 복호화 키를 위해 암호화폐 지불을 요구한다. 일반 트로이 목마는 필요시 추가 페이로드 전달을 위한 백도어 접근을 제공한다.

이 그룹은 데이터 절도를 위한 사기꾼 암호화폐 서비스 사이트의 인프라도 유지한다. 사기 사이트는 전형적인 피싱 페이지가 아닌 합법적으로 보이는 암호화폐 서비스이다. Jupiter 브랜드의 하드웨어 지갑에는 잠재적 구매자를 속여 결제 세부 정보를 공개하도록 설계된 가짜 인터페이스 모음도 포함되어 있다.

보고서에서 인용된 또 다른 예시는 좌절한 고객을 위해 손상된 Trezor 제품을 수리한다고 주장하는 지갑 수리 웹사이트이다. 사기꾼 웹사이트는 기술 지원을 가장하면서 지갑 복구 단어와 개인 키를 수집한다. 일부 도메인은 활성 상태인 반면, 다른 도메인은 비활성 상태이며 향후 표적 공격을 기다리고 있다.

공격 방법의 다양성은 GreedyBear 사기가 단일 기술에 집중하기보다 광범위한 배포 파이프라인을 운영한다는 것을 보여준다. 이 다각화된 접근 방식은 그룹이 가장 효과적인 전략에 따라 전술을 전환할 수 있게 한다. 서로 다른 악성 코드 패밀리 간에 인프라를 재사용하는 것은 모든 캠페인 구성 요소 뒤에 중앙 집중식 조정이 있음을 확인시켜 준다.

중앙 서버가 글로벌 절도 작전을 통제

GreedyBear은 185.208.156.66의 단일 IP 주소를 통해 전체 범죄 사업을 운영한다. 확장 프로그램, 악성 코드 페이로드 및 피싱 사이트 전반에 사용되는 거의 모든 도메인이 이 중앙 서버에 연결된다. 이 허브는 명령 및 제어 통신, 자격 증명 수집, 랜섬웨어 조정 및 사기 사이트 호스팅을 처리한다.

중앙화된 인프라를 통해 공격자는 여러 공격 채널에 걸쳐 작업을 효율적으로 간소화할 수 있습니다. 브라우저 확장 프로그램, 멀웨어 감염 및 웹사이트 피해자로부터의 데이터는 모두 동일한 수집 지점으로 유입됩니다. 이 접근 방식은 관리를 단순화하는 동시에 대상 피해자에 대한 포괄적인 정보를 제공합니다.

Koi Security는 해당 그룹이 이미 파이어폭스 브라우저를 넘어 확장하기 시작했다고 발견했습니다. Filecoin Wallet이라는 악성 크롬 확장 프로그램은 몇 달 전에 동일한 자격 증명 탈취 방법을 사용했습니다. 이 크롬 확장 프로그램은 동일한 185.208.156.66 서버 인프라에 호스팅된 도메인과 통신했습니다.

이 연결은 GreedyBear가 다양한 브라우저 생태계에서 작업을 테스트하고 있음을 확인해 줍니다. 크롬, 엣지 및 기타 브라우저는 향후 몇 달 동안 유사한 확장 프로그램 캠페인의 표적이 될 가능성이 높습니다. 그룹이 플랫폼 전반에 걸쳐 실험하려는 의지는 운영 규모를 확장하려는 그들의 의지를 보여줍니다.

코드 분석에 따르면 AI 도구는 캠페인의 성장과 복잡성을 가속화하는 데 도움이 되었습니다. 멀웨어에서 생성된 아티팩트는 인공 지능이 페이로드 생성 및 확장 작업에 도움을 주고 있음을 시사합니다. 이 기술은 더 빠른 개발 주기와 다양한 플랫폼 전반에 걸친 보안 탐지 시스템 회피를 가능하게 합니다.