Kaspersky descobre malware no SourceForge direcionado a usuários de criptomoedas com troca de endereços
- Kaspersky identifica novo malware disfarçado de plugin do Microsoft Office que visa usuários de criptomoedas.
- O malware instalará minerador e ClipBanker em dispositivos infectados, permitindo que os atacantes envenenem endereços de criptomoedas copiados para a área de transferência.
- O envenenamento de endereços está crescendo como um dos principais tipos de golpes de phishing no espaço das criptomoedas.
A empresa de segurança Kaspersky alertou sobre novo malware direcionado a usuários de criptomoedas através do site de hospedagem de software SourceForge. Em uma publicação recente, a empresa afirmou que o projeto de software no site, Office Package, contém um malware de envenenamento de endereços direcionado a usuários de criptomoedas.
De acordo com o relatório, o software Office Package é um projeto legítimo contendo complementos do Microsoft Office. No entanto, uma investigação mais detalhada revela mais sobre o pacote, pois ele contém links de download que levam a uma URL diferente.
Ela disse:
“O projeto sob investigação foi atribuído ao domínio officepackage.sourceforge[.]io, mas a página exibida ao acessar esse domínio não tem nada a ver com o officepackage no sourceforge.net.”
Curiosamente, o processo de download do malware é bastante complexo, com os usuários passando por três URLs antes de poderem baixar o arquivo. O processo complexo parece fazer parte do esquema para atrair usuários a acreditar que estão baixando um aplicativo genuíno.
Especialistas em segurança da Kaspersky observaram que o arquivo de instalação final é o installer.msi, um arquivo de 700 megabytes cujo tamanho foi inflado por agentes maliciosos para parecer um instalador de software autêntico. Após remover os bytes inúteis, o tamanho real é de sete megabytes.
Ao executar o instalador, os usuários instalam inadvertidamente dois aplicativos maliciosos em seus dispositivos: um minerador e um ClipBanker. O ClipBanker permite o envenenamento de endereços ao substituir endereços de criptomoedas copiados para a área de transferência pelos do atacante, levando os usuários a enviar fundos para endereços incorretos.
Os especialistas em segurança afirmaram:
“As principais ações maliciosas nesta campanha resumem-se à execução de dois scripts AutoIt. O Icon.dll reinicia o interpretador AutoIt e injeta um minerador nele, enquanto o Kape.dll faz o mesmo, mas injeta o ClipBanker.”
Enquanto isso, eles também observaram que o ataque focou principalmente em alvos russos. Sinais disso incluem a interface em russo do site officepackage.sourceforge[.]io e o fato de que 90% dos 4.604 usuários que encontraram o malware entre janeiro e o final de março são russos.
Golpes de envenenamento de endereços estão aumentando
O relatório da Kaspersky está alinhado com o recente aumento nos ataques de envenenamento de endereços contra usuários de criptomoedas, conforme relatado por várias empresas de segurança blockchain. De acordo com dados da Scam Sniffer, o terceiro maior incidente de phishing em março foi causado por envenenamento de endereços.
A Cyvers também relatou que golpes de envenenamento de endereços causaram perdas superiores a 1,2 milhão de dólares nas primeiras três semanas de março, somando-se aos 1,8 milhão de dólares de fevereiro. A empresa informou que seu sistema de detecção de ameaças com IA identificou um aumento nos ataques de envenenamento de endereços.
Embora a maioria dos ataques de envenenamento de endereços resulte de criminosos enviando manualmente pequenas transações para vítimas com endereços semelhantes aos que elas frequentemente utilizam, o uso de malware sofisticado que permite aos atacantes alterar endereços na área de transferência demonstra como os maus atores continuam a evoluir.
Especialistas em segurança acreditam que a principal solução para este problema é evitar que os usuários baixem software de fontes não confiáveis. Eles observaram que os maus atores geralmente exploram sites de software não oficiais para distribuir aplicativos maliciosos, e as pessoas que utilizam esses sites devem estar cientes desse risco.
No entanto, eles notaram que este malware apresenta um problema ainda maior, pois oferece uma maneira inventiva para que os atacantes obtenham acesso a sistemas infectados. Assim, há a possibilidade de os criadores decidirem usá-lo não apenas para atingir usuários de criptomoedas, mas também começar a vendê-lo a outros maus atores mais perigosos.
As mentes mais inteligentes do setor de criptomoedas já leem nosso boletim informativo. Quer entrar? Junte-se a eles.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
