Campanha de engenharia social visa usuários de criptomoedas por meio de startups falsas, diz relatório
- Hackers criam empresas falsas de IA, jogos e Web3 para atingir usuários de criptomoedas.
- Operações maliciosas utilizam redes sociais falsificadas e plataformas legítimas como o GitHub.
- Versões de malware para Windows e macOS roubam carteiras de criptomoedas por meio de engenharia social.
Pesquisa da Darktrace revela campanha contínua de engenharia social direcionada a usuários de criptomoedas por meio de empresas falsas. Golpistas se passam por empresas de IA, jogos e Web3 usando contas falsificadas em redes sociais.
A documentação do projeto é hospedada em plataformas legítimas como Notion e GitHub. A campanha continua mudando desde dezembro de 2024, direcionada a funcionários da Web3 globalmente.
Empresas falsas usam plataformas legítimas para construir presença credível
Atores de ameaça criam empresas falsas com temas de IA, jogos e software de videoconferência. Fachadas de empresas Web3 e de mídia social ajudam a direcionar especificamente usuários de criptomoedas. Essas operações usam contas do X comprometidas, geralmente com verificação, para contatar vítimas.
Os atacantes usam plataformas legítimas, incluindo Notion, Medium e GitHub para documentação. Sites com aparência profissional incluem perfis de funcionários, blogs de produtos, whitepapers e roteiros de desenvolvimento. As contas do X parecem comprometidas, com maiores contagens de seguidores que adicionam à aparência de legitimidade.
Os golpistas continuam ativos em contas de redes sociais publicando atualizações de desenvolvimento de software. Conteúdo de marketing de produtos é compartilhado regularmente enquanto campanhas operam em várias plataformas. O jogo blockchain Eternal Decay criou fotos falsas de apresentações em conferências para ganhar credibilidade.
Os atacantes até alteraram fotos de exposições italianas, fazendo-as parecer apresentações da empresa. O Medium hospeda posts de blog sobre produtos de software falsos e desenvolvimentos da empresa. O Notion contém roteiros detalhados de produtos e informações abrangentes de listagem de funcionários.
Repositórios do GitHub apresentam aspectos técnicos de software usando projetos de código aberto roubados. Nomes de código são alterados para fazer os repositórios parecerem únicos e originais. Informações de registro da empresa do Companies House são vinculadas a empresas de nomes semelhantes.
O Gitbook detalha informações da empresa e lista parcerias falsas com investidores para credibilidade. Imagens de jogabilidade roubadas do jogo Zombie Within aparecem como conteúdo do Eternal Decay. Algumas empresas falsas estabelecem lojas de mercadorias para completar fachadas comerciais.
Esses elementos combinados criam aparências convincentes de empresas de startup, aumentando as taxas de sucesso da infecção. As vítimas recebem contato por mensagens do X, Telegram ou Discord de funcionários. Trabalhadores falsos oferecem pagamentos em criptomoedas pela participação no teste de software.
Malware direcionado a usuários de carteiras de criptomoedas em Windows e macOS
As versões para Windows são distribuídas por meio de aplicativos Electron que exigem códigos de registro de funcionários falsificados. Os bins são baixados pelos usuários após a inserção dos códigos, fornecidos via mensagens de mídia social. Telas de verificação do CloudFlare são apresentadas antes da execução do malware nos sistemas alvo.
O malware reúne perfis do sistema em nome de usuário, detalhes da CPU, RAM e gráficos. Endereços MAC e UUIDs do sistema são coletados nas fases preliminares de reconhecimento. Mecanismos de autenticação baseados em tokens usam tokens derivados de URLs de inicializadores de aplicativos.
Certificados de assinatura de código roubados aumentam a legitimidade do software e evitam a detecção de segurança. Certificados de empresas como Jiangyin Fengyuan Electronics Co. e Paperbucketmdb ApS foram usados. O Python é recuperado e armazenado em diretórios temporários para execução de comandos.
As distribuições para macOS são lançadas como arquivos DMG contendo scripts bash e binários. Os scripts usam técnicas de ofuscação como codificação base64 e criptografia XOR. O AppleScript monta o malware e executa executáveis de diretórios temporários automaticamente.
O malware para macOS realiza verificações anti-análise para ambientes QEMU, VMWare e Docker. O Atomic Stealer direciona dados do navegador, carteiras de criptomoedas, cookies e arquivos de documento. Os dados roubados são compactados e enviados por solicitações POST para servidores.
Scripts bash adicionais estabelecem persistência por meio de configurações de Launch Agent no login. O malware registra continuamente o uso de aplicativos ativos e informações de janela. Carimbos de tempo da interação do usuário são registrados e transmitidos periodicamente para servidores de coleta.
Ambas as versões visam especificamente os dados de carteiras de criptomoedas para operações de roubo. Múltiplas empresas falsas distribuem o mesmo malware com diferentes marcas e temas.
Lista extensa de empresas falsas identificadas em várias plataformas
A Darktrace revelou várias empresas falsas operando por meio desta campanha de engenharia social. A Pollens AI se passa por ferramentas de criação colaborativa usando contas do X e outros sites. A Buzzu emprega os mesmos logotipos e código da Pollens, mas opera sob uma marca diferente.
O Cloudsign é relatado como fornecedor de serviços de plataforma de assinatura de documentos para consumidores empresariais. O Swox é uma rede social de próxima geração no espaço Web3. A KlastAI está intimamente ligada às contas e sites da Pollens, portando a mesma marca.
A Wasper usa os mesmos logotipos e código do GitHub da Pollens em várias áreas. A Lunelior opera por meio de vários sites atendendo a vários grupos de usuários especificamente. A BeeSync operou anteriormente como alias da Buzzu antes de sua rebranding em janeiro de 2025.
A Slax hospeda sites de mídia social e centrados em IA em vários sites. A Solune alcança usuários por meio de atividade em plataformas de mídia social e uso de aplicativos de mensagens. A Eternal Decay é uma empresa de jogos blockchain com apresentações de conferências sintéticas.
A Dexis tem a mesma marca do Swox e compartilha a mesma base de usuários. A NexVoo tem múltiplos domínios e gerenciamento de plataformas de mídia social. A NexLoop foi renomeada para NexoraCore ao renomear repositórios do GitHub.
A YondaAI direciona usuários de sites de mídia social e usuários de vários domínios de sites. Cada empresa tem fachadas profissionais por meio de procedimentos de integração em plataformas reais. O grupo de tráfego CrazyEvil tem operado tais campanhas desde 2021.
A Recorded Future estima milhões de receita do CrazyEvil provenientes de atividades maliciosas. Diz-se que o grupo está por trás de ataques a usuários de criptomoedas, influenciadores e profissionais de DeFi. As campanhas mostram esforços extensos para criar aparências de negócios legítimos.
Se você está lendo isso, já está à frente. Mantenha-se assim com nosso boletim informativo.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
Vignesh Karunanidhi
Vignesh é escritor de conteúdo cripto, jornalista cripto, editor de conteúdo e gerente de redes sociais. Ele trabalhou com Watcher.guru, BeInCrypto, CoinGape, Milkroad e Airdrops por mais de 6 anos. Suas habilidades em cobrir notícias de tecnologia, robótica, negócios e IA foram aprimoradas por meio de um mestrado em Comércio.
