Пользователи Cardano стали жертвами новой фишинговой кампании кошельков

В настоящее время пользователи Cardano становятся мишенями для новой фишинговой кампании кошельков. Согласно сообщениям, изощрённая фишинговая кампания распространяется в сообществе и создаёт серьёзные риски для пользователей, планирующих загрузить недавно анонсированное приложение Eternl Desktop.

Хакеры создают профессиональные письма, в которых утверждается, что они продвигают легитимное решение для кошелька, предназначенное для безопасного стейкинга Cardano и участия в управлении. В объявлении используются термины, связанные с получением пользователями вознаграждений, включая NIGHT и токены ATMA в рамках текущей программы крипто-розыгрыша, чтобы установить доверие и стимулировать активность пользователей.

Хакеры атакуют пользователей кошельков Cardano

Согласно сообщениям, хакерам удалось создать копию официального объявления о выпуске Eternl Desktop, дополнив его информацией о совместимости с аппаратными кошельками, локальном управлении ключами и расширенном контроле делегирования.

Письмо составлено в отточенном, профессиональном тоне с правильной грамматикой и без видимых орфографических ошибок, что делает его очень эффективным инструментом обмана участников сообщества Cardano. В то же время оно распространяет вредоносное ПО на любую систему, в которую оно попадает.

Сообщается, что кампания использует недавно зарегистрированный домен download(dot)eternldesktop(dot)network для распространения вредоносного установочного пакета без необходимости официальной проверки или подтверждения цифровой подписи.

В ходе детального технического анализа, проведенного Анурогом, независимым охотником за угрозами и аналитиком вредоносных программ, легитимный файл Eternl.msi содержит скрытый инструмент удаленного управления LogMeIn Resolve, встроенный в установочный пакет.

Выявление показало попытку злоупотребления цепочкой поставок, направленную на установление постоянного несанкционированного доступа к системам жертв. Зловредный MSI-установщик размером 23,3 МБ с хешем 8fa4844e40669c1cb417d7cf923bf3e0 размещает исполняемый файл unattended updater.exe, который использует исходное имя файла GoToResolveUnattendedUpdater.exe.

Во время выполнения исполняемый файл создает идентифицированную структуру папок в директории Program Files системы.

После создания папки Program Files он формирует каталог и записывает несколько конфигурационных файлов, включая unattended.json, logger.json, mandatory.json и pc.json. Файл конфигурации unattended.json обеспечивает функциональность удаленного доступа без необходимости взаимодействия с пользователем.

Сброшенный исполняемый файл пытается установить соединения с инфраструктурой, связанной с легитимными сервисами GoTo Resolve, включая devices-iot.console.gotoresolve.com и dumpster.console.gotoresolve.com.

Вредоносное ПО предоставляет хакерам удаленный доступ

Согласно сетевому анализу, вредоносное ПО отправляет информацию хакерам в формате JSON. Оно также использует удаленные серверы для создания канала связи для выполнения команд и мониторинга системы.

Исследователи безопасности отмечают важность такого поведения, поскольку инструменты удаленного управления позволяют хакерам выполнять удаленные команды и похищать учетные данные после установки вредоносного ПО на систему жертвы.

Фишинговая кампания Cardano также демонстрирует, как хакеры используют криптовалюту и брендинг легитимных платформ для распространения инструментов, заражённых вредоносным ПО. Это означает, что пользователям необходимо проверять подлинность используемого программного обеспечения через официальные каналы. Кроме того, им следует избегать загрузки приложений для кошельков из непроверенных источников или недавно зарегистрированных доменов, независимо от того, насколько убедительно выглядят их рассылки.

Эта фишинговая кампания Cardano аналогична той, что нацеливалась на клиентов, использующих Meta для рекламы, в прошлом году. Пользователей заманивают письмами, в которых утверждается, что их объявления были временно приостановлены из-за нарушений политик рекламы и нормативных актов ЕС.

Мошенники даже идут на то, чтобы придать своим действиям легитимности, добавляя официальное брендинг Instagram и формулировки о нарушениях политики. Однако более тщательная проверка показала, что письма были отправлены с другого домена.

Исследователи отметили, что после перехода по ссылке пользователи перенаправляются на поддельную страницу Meta Business, которая выглядит убедительно. Веб-сайт копирует настоящий сайт поддержки, открываясь страницей с предупреждением о том, что их аккаунт будет заблокирован, если они не примут меры немедленно.

Пользователей обманом заставляют ввести данные для входа в рекламный кабинет в предоставленные поля, при этом служба поддержки направляет их с помощью пошаговой инструкции по восстановлению аккаунта.