보고서에 따르면 사회공학적 공격이 가짜 스타트업을 통해 암호화폐 사용자를 표적으로 삼고 있음

Darktrace의 연구에 따르면 사기꾼들이 가짜 스타트업 기업을 통해 암호화폐 사용자를 표적으로 삼는 지속적인 사회공학적 공격이 진행 중입니다. 사기꾼들은 스푸핑된 소셜 미디어 계정을 사용하여 AI, 게임, Web3 기업으로 가장합니다.

프로젝트 문서는 Notion과 GitHub와 같은 합법적인 플랫폼에 호스팅됩니다. 이 캠페인은 2024년 12월부터 전 세계 Web3 직원을 표적으로 삼아 계속 변화하고 있습니다.

가짜 기업들은 합법적인 플랫폼을 사용하여 신뢰할 수 있는 존재감을 구축합니다

위협 행위자들은 AI, 게임, 화상 회의 소프트웨어 테마를 가진 가짜 스타트업 기업을 만듭니다. Web3 및 소셜 미디어 기업 가면은 암호화폐 사용자를 특정하여 표적으로 삼는 데 도움이 됩니다. 이러한 운영은 일반적으로 인증된 X 계정을 사용하여 피해자에게 연락하는 데 사용됩니다.

공격자들은 문서화를 위해 Notion, Medium, GitHub와 같은 합법적인 플랫폼을 사용합니다. 직원 프로필, 제품 블로그, 백서, 개발 로드맵을 갖춘 전문적인 외관의 웹사이트가 포함됩니다. X 계정은 더 많은 팔로워 수를 통해 합법성을 더하는 것처럼 보입니다.

사기꾼들은 소프트웨어 개발 업데이트를 게시하는 소셜 미디어 계정에서 여전히 활동 중이다. 제품 마케팅 콘텐츠가 정기적으로 공유되며 캠페인은 플랫폼 전반에 걸쳐 운영된다. Eternal Decay 블록체인 게임은 신뢰성을 위해 가짜 컨퍼런스 프레젠테이션 사진을 만들었다.

공격자들은 심지어 이탈리아 전시회 사진을 변조하여 회사 프레젠테이션인 것처럼 보이게 했습니다. Medium은 가짜 소프트웨어 제품과 회사 개발에 대한 블로그 게시물을 호스팅합니다. Notion에는 상세한 제품 로드맵과 포괄적인 직원 목록 정보가 포함되어 있습니다.

GitHub 저장소는 훔친 오픈소스 프로젝트를 사용하여 기술적 소프트웨어 측면을 보여줍니다. 저장소가 독특하고 독창적으로 보이도록 코드 이름이 변경됩니다. Companies House의 회사 등록 정보가 유사한 이름의 회사에 링크됩니다.

Gitbook은 회사 정보를 상세히 설명하고 신뢰성을 위해 가짜 투자자 파트너십을 나열합니다. Zombie Within 게임에서 훔친 게임플레이 이미지가 Eternal Decay 콘텐츠로 표시됩니다. 일부 가짜 기업은 비즈니스 정체를 완성하기 위해 상품 판매점을 개설합니다.

이러한 결합된 요소들은 감염 성공률을 높이는 설득력 있는 스타트업 회사 외관을 만듭니다. 피해자들은 X 메시지, Telegram 또는 Discord를 통해 직원으로부터 연락을 받습니다. 가짜 직원들은 소프트웨어 테스트 참여를 위해 암호화폐 지불을 제안합니다.

Windows 및 macOS 암호화폐 지갑 사용자를 모두 표적으로 삼는 악성코드

Windows 버전은 사칭된 직원으로부터 등록 코드를 요구하는 Electron 앱을 통해 배포됩니다. 코드를 입력한 후 사용자가_bins_을 다운로드하며, 코드는 소셜 미디어 메시지를 통해 제공됩니다. 대상 시스템에서 악성코드 실행 전에 CloudFlare 확인 화면이 표시됩니다.

악성코드는 사용자 이름, CPU 세부 정보, RAM 및 그래픽을 포함한 시스템 프로필을 수집합니다. MAC 주소와 시스템 UUID는 초기 정찰 단계에서 수집됩니다. 토큰 기반 인증 메커니즘은 애플리케이션 실행기 URL에서 파생된 토큰을 사용합니다.

훔친 코드 서명 인증서는 소프트웨어의 합법성을 높이고 보안 감지를 우회합니다. Jiangyin Fengyuan Electronics Co. 및 Paperbucketmdb ApS와 같은 회사의 인증서가 사용되었습니다. Python은 명령 실행을 위해 임시 디렉토리에 검색되어 저장됩니다.

macOS 배포는 bash 스크립트와 바이너리가 포함된 DMG 파일로 제공됩니다. 스크립트는 base64 인코딩 및 XOR 암호화와 같은 난독화 기술을 사용합니다. AppleScript는 악성코드를 마운트하고 임시 디렉토리에서 실행 파일을 자동으로 실행합니다.

macOS 악성코드는 QEMU, VMWare 및 Docker 환경에 대한 분석 방지 검사를 수행합니다. Atomic Stealer는 브라우저 데이터, 암호화폐 지갑, 쿠키 및 문서 파일을 표적으로 삼습니다. 훔친 데이터는 압축되어 서버로 POST 요청을 통해 전송됩니다.

추가 bash 스크립트는 로그인 시 Launch Agent 구성을 통해 지속성을 확립합니다. 악성코드는 활성 애플리케이션 사용 및 창 정보를 지속적으로 로깅합니다. 사용자 상호작용 타임스탬프는 주기적으로 수집 서버에 기록되어 전송됩니다.

두 버전 모두 특정적으로 암호화폐 지갑 데이터를 표적으로 삼아 절도 작업을 수행합니다. 여러 가짜 기업이 서로 다른 브랜딩과 테마로 동일한 악성코드를 배포합니다.

다양한 플랫폼에서 식별된 가짜 기업의 광범위한 목록

Darktrace는 이 사회공학적 캠페인을 통해 운영되는 여러 가짜 기업을 공개했습니다. Pollens AI는 X 계정과 기타 웹사이트를 사용하여 협업 창작 도구를 사칭합니다. Buzzu는 Pollens와 동일한 로고와 코드를 사용하지만 다른 브랜딩으로 운영됩니다.

Cloudsign은 비즈니스 소비자에게 문서 서명 플랫폼 서비스를 제공한다고 보고됩니다. Swox는 Web3 공간의 차세대 소셜 네트워크입니다. KlastAI는 동일한 브랜딩을 가진 Pollens 계정 및 사이트와 밀접하게 연결되어 있습니다.

Wasper는 다양한 영역에서 Pollens와 동일한 로고와 GitHub 코드를 사용합니다. Lunelior는 특정 사용자 그룹을 대상으로 하는 다양한 웹사이트를 통해 운영됩니다. BeeSync은 2025년 1월 리브랜딩 전에 Buzzu의 별칭으로 운영되었습니다.

Slax는 여러 웹사이트에 소셜 미디어 및 AI 중심 사이트를 호스팅합니다. Solune은 소셜 미디어 플랫폼 활동 및 메신저 앱 사용을 통해 사용자에게 도달합니다. Eternal Decay는 합성 컨퍼런스 프레젠테이션을 가진 블록체인 게임 회사입니다.

Dexis는 Swox와 동일한 브랜딩을 사용하며 동일한 사용자 기반을 공유했습니다. NexVoo는 여러 도메인과 소셜 미디어 플랫폼 관리를 가지고 있습니다. NexLoop는 GitHub 저장소 이름을 변경하여 NexoraCore로 리브랜딩했습니다.

YondaAI는 소셜 미디어 사이트 사용자 및 다양한 웹사이트 도메인 사용자를 표적으로 삼습니다. 모든 기업은 실제 플랫폼 통합 절차를 통해 전문적인 전면을 갖추고 있습니다. CrazyEvil 트래퍼 그룹은 2021년부터 이러한 캠페인을 운영해 왔습니다.

Recorded Future는 CrazyEvil의 악성 활동으로 인한 수백만 달러의 수익을 추정합니다. 이 그룹은 암호화폐 사용자, 인플루언서 및 DeFi 전문가에 대한 공격의 배후로 알려져 있습니다. 캠페인들은 합법적인 비즈니스 외관을 만드는 데 광범위한 노력을 보여줍니다.