Мошенническая схема GreedyBear через расширения Firefox украла 1 млн долларов в криптовалюте: Koi Security

Группа мошеннической схемы GreedyBear украла более 1 миллиона долларов в криптовалюте в ходе скоординированной кампании атак.

Koi Security сообщила, что группа запустила 150 вредоносных расширений для Firefox, а также 500 вредоносных исполняемых файлов. Операция использовала поддельные расширения для кошельков, фишинговые сайты и вредоносное ПО для нацеливания на пользователей криптовалют на нескольких платформах.

Мошенничество с расширениями Firefox нацелено на популярные криптокошельки

Мошенническая схема GreedyBear запустила более 150 вредоносных расширений в магазине Firefox, нацеленных на пользователей криптовалют. Вредоносные расширения имитируют популярные кошельки, такие как MetaMask, TronLink, Exodus и Rabby Wallet. Все расширения копируют интерфейсы легитимных кошельков, чтобы перехватить учетные данные пользователей при попытке входа в систему.

Сначала хакеры создают расширения, выглядящие как настоящие, например, санитайзеры ссылок и загрузчики YouTube с ограниченным функционалом. С набором из 5–7 универсальных утилит с новыми именами издателей они обычно создают доверие в долгосрочной перспективе.

После того как преступники наживаются на доверии через положительные отзывы, они полностью опустошают эти расширения. Они изменяют имена, значки и внедряют вредоносный код, но сохраняют исходную историю положительных отзывов. Этот метод позволяет вредоносным расширениям выглядеть надежными для новых пользователей, просматривающих магазин.

Расширения работают как инструменты для получения учетных данных кошелька из полей ввода во всплывающих окнах. Украденная информация передается на удаленные серверы, контролируемые группой преступников, для последующего использования. Расширения также передают IP-адреса жертв при запуске для отслеживания.

Это действие является продолжением предыдущей активности Foxy Wallet, выявившей 40 вредоносных расширений. Масштаб теперь увеличился более чем в два раза по сравнению с первоначальным случаем. Сообщения пользователей подтверждают, что жертвы потеряли значительную стоимость криптовалюты, используя эти поддельные расширения для кошельков в разные периоды времени.

Межплатформенная атака сочетает вредоносное ПО и мошеннические сайты

Мошенническая схема GreedyBear оперирует почти 500 вредоносными исполняемыми файлами Windows параллельно с кампанией браузерных расширений. Эти программы распространяются через российские сайты, распространяющие взломанное и пиратское программное обеспечение среди неосведомленных пользователей. Коллекция вредоносного ПО охватывает несколько категорий угроз для максимального потенциала ущерба.

Крадущие учетные данные программы, такие как LummaStealer, нацелены на информацию криптокошельков, хранящуюся на компьютерах жертв. Варианты программ-шифровальщиков шифруют файлы пользователей и требуют оплаты криптовалютой за ключи дешифрования. Универсальные трояны обеспечивают бэкдор-доступ для доставки дополнительных полезной нагрузки при необходимости.

Группа также поддерживает инфраструктуру сайтов-подражателей крипто-сервисов для кражи данных. Мошеннические сайты выглядят как легитимные крипто-сервисы и не являются типичными фишинговыми страницами. Аппаратные кошельки бренда Jupiter также содержат макеты интерфейса, подделанные для обмана потенциальных покупателей с целью раскрытия платежных реквизитов.

Другим примером, приведенным в отчете, являются сайты ремонта кошельков, которые утверждают, что ремонтируют поврежденные продукты Trezor для разочарованных клиентов. Сайты-подражатели собирают слова восстановления кошелька и закрытые ключи, выдавая себя за техническую поддержку. Некоторые домены активны, в то время как другие находятся в спящем режиме, ожидая целевых атак в будущем.

Разнообразие методов атак показывает, что мошенническая схема GreedyBear использует широкий канал распространения, а не фокусируется на одной технике. Этот диверсифицированный подход позволяет группе менять тактику в зависимости от того, что работает лучше всего. Повторное использование инфраструктуры в разных семействах вредоносного ПО подтверждает централизованную координацию за всеми компонентами кампании.

Централизованный сервер управляет глобальными операциями по краже

GreedyBear управляет всей своей преступной деятельностью через один IP-адрес: 185.208.156.66. Почти все домены, используемые в расширениях, вредоносных программах и фишинговых сайтах, подключаются к этому центральному серверу. Этот узел обрабатывает связи для управления и контроля, сбор учетных данных, координацию программ-шифровальщиков и хостинг мошеннических сайтов.

Централизованная инфраструктура позволяет злоумышленникам эффективно оптимизировать операции в нескольких каналах атак. Данные из браузерных расширений, заражений вредоносным ПО и жертв веб-сайтов стекаются в одну точку сбора. Этот подход упрощает управление и предоставляет комплексную информацию о целевых жертвах.

Koi Security обнаружила, что группа уже начала расширяться за пределы браузеров Firefox. Вредоносное расширение Chrome под названием Filecoin Wallet использовало идентичные методы кражи учетных данных несколько месяцев назад. Это расширение Chrome взаимодействовало с доменами, размещенными на той же серверной инфраструктуре 185.208.156.66.

Связь подтверждает, что GreedyBear тестирует операции в разных экосистемах браузеров. Chrome, Edge и другие браузеры, вероятно, столкнутся с аналогичными кампаниями расширений в ближайшие месяцы. Готовность группы экспериментировать на разных платформах показывает ее приверженность масштабированию операций.

Инструменты ИИ помогли ускорить рост и усложнение кампании, согласно анализу кода. Сгенерированные артефакты во вредоносном ПО предполагают, что искусственный интеллект помогает в создании полезной нагрузки и масштабировании. Эта технология позволяет сократить циклы разработки и улучшить обход систем обнаружения безопасности на разных платформах.