Kaspersky обнаружила вредоносное ПО на SourceForge, нацеленное на криптопользователей с помощью подмены адресов

Компания по кибербезопасности Kaspersky предупредила о новом вредоносном программном обеспечении, нацеленном на криптопользователей через сайт размещения программного обеспечения SourceForge. В недавней публикации компания заявила, что проект программного обеспечения на сайте, Office Package, содержит вредоносное ПО для отравления адресов, нацеленное на криптопользователей.

Согласно отчету, программное обеспечение Office package является легитимным проектом, содержащим надстройки Microsoft Office. Однако более тщательное исследование выявляет больше деталей о пакете, так как он содержит ссылки для загрузки, ведущие на другой URL.

Они сказали:

«Проект, находящийся под расследованием, получил домен officepackage.sourceforge[.]io, но страница, отображаемая при переходе на этот домен, ничем не похожа на officepackage на sourceforge.net».

Интересно, что процесс загрузки вредоносного ПО довольно сложен: пользователи проходят через три URL-адреса, прежде чем смогут скачать файл. Сложный процесс, по-видимому, является частью схемы, призванной заставить пользователей поверить, что они скачивают подлинное приложение.

Эксперты по безопасности Kaspersky отметили, что финальный установочный файл — installer.msi, файл размером 700 мегабайт, размер которого злоумышленники искусственно завысили, чтобы он выглядел как подлинный установщик программного обеспечения. После удаления мусорных байтов реальный размер составляет семь мегабайт.

Запуская установщик, пользователи невольно устанавливают на свои устройства два вредоносных приложения: майнер и ClipBanker. ClipBanker позволяет осуществлять отравление адресов, заменяя криптографические адреса, скопированные в буфер обмена, на адреса злоумышленника, что приводит к отправке средств на неправильные адреса.

Эксперты по безопасности написали:

«Ключевые вредоносные действия в этой кампании сводятся к запуску двух скриптов AutoIt. Icon.dll перезапускает интерпретатор AutoIt и внедряет в него майнер, в то время как Kape.dll делает то же самое, но внедряет ClipBanker».

Тем временем они также отметили, что атака была в основном направлена на российские цели. Об этом свидетельствует русский интерфейс сайта officepackage.sourceforge[.]io и тот факт, что 90% из 4604 пользователей, столкнувшихся с вредоносным ПО с января по конец марта, являются россиянами.

Схемы отравления адресов становятся все более распространенными

Отчет Kaspersky соответствует недавнему росту атак с отравлением адресов на криптопользователей, о которых сообщали несколько компаний по безопасности блокчейна. Согласно данным Scam Sniffer, третья по величине фишинговая атака в марте была связана с отравлением адресов.

Cyvers также сообщил, что мошеннические схемы с отравлением адресов привели к убыткам более чем на 1,2 млн долларов в течение первых трех недель марта, добавившись к 1,8 млн долларов потерь в феврале. Компания заявила, что ее система обнаружения угроз на базе ИИ выявила рост атак с отравлением адресов.

Хотя большинство атак с отравлением адресов происходят из-за того, что злоумышленники вручную отправляют небольшие транзакции жертвам на адреса, похожие на те, которые они часто используют, использование сложного вредоносного ПО, позволяющего злоумышленникам изменять адреса в буфере обмена, показывает, как плохие акторы продолжают эволюционировать.

Эксперты по безопасности считают, что лучшее решение этой проблемы — избегать загрузки программного обеспечения из ненадежных источников. Они отметили, что злоумышленники обычно используют неофициальные сайты программного обеспечения для распространения вредоносных приложений, и пользователям таких сайтов следует осознавать этот риск.

Однако они отметили, что это вредоносное ПО представляет еще большую проблему, так как предоставляет злоумышленникам изобретательный способ получения доступа к зараженным системам. Таким образом, существует вероятность того, что создатели могут решить использовать его не только для нацеливания на криптопользователей, но и начать продавать его более опасным злоумышленникам.