Usuários do Cardano visados em nova campanha de phishing de carteiras

Os usuários do Cardano estão sendo atualmente visados em uma nova campanha de phishing de carteiras. De acordo com os relatórios, a sofisticada campanha de phishing está atualmente circulando dentro da comunidade, representando riscos significativos para usuários que pretendem baixar o recém-anunciado aplicativo Eternl Desktop.

Os hackers elaboram e-mails profissionais alegando promover uma solução de carteira legítima projetada para participação segura em staking e governança do Cardano. O anúncio usa termos relacionados aos usuários ganhando recompensas, incluindo NIGHT e recompensas do token ATMA através do programa atual de sorteio cripto, para estabelecer credibilidade e impulsionar o engajamento do usuário.

Hackers estão visando usuários de carteiras Cardano

De acordo com os relatórios, os hackers foram capazes de criar uma réplica do anúncio oficial do Eternl Desktop, complementando-o com uma mensagem sobre compatibilidade com carteiras de hardware, gerenciamento local de chaves e controle avançado de delegação.

O e-mail mostra um tom polido e profissional com gramática adequada e sem erros de ortografia visíveis, tornando-o muito eficaz em enganar membros da comunidade Cardano. Enquanto isso, distribui malware para qualquer sistema que ele entre.

Relatórios mencionaram que a campanha usa um domínio recém-registrado, download(dot)eternldesktop(dot)network, para distribuir um pacote instalador malicioso sem a necessidade de verificação oficial ou validação de assinatura digital.

Na análise técnica detalhada realizada por Anurag, um caçador de ameaças independente e analista de malware, o arquivo Eternl.msi legítimo contém uma ferramenta de gerenciamento remoto LogMeIn Resolve embutida em seu pacote de instalação.

A descoberta expôs uma tentativa de abuso na cadeia de suprimentos destinada a estabelecer acesso não autorizado persistente nos sistemas das vítimas. O instalador malicioso MSI, com tamanho de 23,3 megabytes e hash 8fa4844e40669c1cb417d7cf923bf3e0, instala um executável chamado unattended updater.exe, que usa o nome de arquivo original GoToResolveUnattendedUpdater.exe.

Durante a análise em tempo de execução, o executável cria uma estrutura de pasta identificada sob o Program Files do sistema.

Assim que cria o Program Files, ele cria um diretório e grava várias configurações, incluindo unattended.json, logger.json, mandatory.json e pc.json. O arquivo de configuração unattended.json habilita a funcionalidade de acesso remoto sem a necessidade de interação do usuário.

O executável instalado tenta estabelecer conexões com infraestrutura associada aos Legítimos Serviços GoTo Resolve, incluindo devices-iot.console.gotoresolve.com e dumpster.console.gotoresolve.com.

Malware fornece acesso remoto aos hackers

De acordo com a análise de rede, o malware envia informações para os hackers em formato JSON. Ele também usa servidores remotos para estabelecer um canal de comunicação para execução de comandos e monitoramento do sistema.

Pesquisadores de segurança dizem que esse comportamento é importante porque ferramentas de gerenciamento remoto permitem que os hackers realizem execução remota de comandos e roubem credenciais assim que o malware é instalado no sistema de uma vítima.

A campanha de phishing do Cardano também mostra como os hackers usam cripto e a marca de plataformas legítimas para distribuir ferramentas infectadas com malware. Isso significa que os usuários precisam verificar a autenticidade do software que usam por meio de canais oficiais. Além disso, eles também devem evitar baixar aplicativos de carteira de fontes não verificadas ou domínios recém-registrados, independentemente de quão boas pareçam suas e-mails de distribuição.

Esta campanha de phishing do Cardano é semelhante à que atingiu clientes usando a Meta para anúncios no ano passado. Os usuários são atraídos por e-mails que afirmam que seus anúncios foram temporariamente suspensos devido a violações das políticas de publicidade e regulamentações da UE.

Os golpistas chegam ao ponto de fazer parecer legítimo adicionando a marca oficial do Instagram e linguagem oficial-sobre violações de política. No entanto, uma inspeção mais detalhada mostrou que os e-mails eram de um domínio diferente.

Os pesquisadores mencionaram que ao clicar no link, os usuários são redirecionados para uma página falsa do Meta Business que parece convincente. O site imita o site de suporte real, abrindo com uma página que avisa o usuário que sua conta enfrenta encerramento se não tomar ação imediatamente.

Os usuários são enganados para inserir seu login do Ad nos espaços fornecidos, com o suporte ao cliente guiando-os com instruções passo a passo fornecidas para restaurar suas contas.