Сообщается, что кампания социального инжиниринга нацелена на пользователей криптовалюты через фальшивые стартапы

Исследование Darktrace раскрывает продолжающуюся кампанию социального инжиниринга, нацеленную на пользователей криптовалюты через фальшивые стартап-компании. Мошенники выдают себя за компании в сфере ИИ, игр и Web3, используя поддельные аккаунты в социальных сетях.

Документация проекта размещается на легитимных платформах, таких как Notion и GitHub. Кампания продолжает меняться с декабря 2024 года, нацеливаясь на сотрудников Web3 по всему миру.

Фальшивые компании используют легитимные платформы для создания достоверного присутствия

Злоумышленники создают фальшивые стартап-компании с темами ИИ, игр и программного обеспечения для видеоконференций. Фасады компаний Web3 и социальных сетей помогают нацеливаться конкретно на пользователей криптовалюты. Эти операции используют скомпрометированные аккаунты X, обычно с верификацией, для связи с жертвами.

Атакующие используют легитимные платформы, включая Notion, Medium и GitHub для документации. Профессионально выглядящие веб-сайты включают профили сотрудников, блоги продуктов, белые книги и дорожные карты разработки. Аккаунты X выглядят скомпрометированными, но с большим количеством подписчиков, что добавляет легитимности.

мошенники остаются активными в социальных сетях, публикуя обновления разработки программного обеспечения. Контент продуктового маркетинга регулярно распространяется, а кампании работают на различных платформах. Игра Eternal Decay создала фальшивые фотографии презентации конференции для создания доверия.

Атакующие даже изменили фотографии итальянской выставки, сделав их похожими на презентации компании. Medium размещает посты в блогах о фальшивых программных продуктах и разработках компании. Notion содержит подробные дорожные карты продуктов и полную информацию о сотрудниках.

Репозитории GitHub содержат технические аспекты программного обеспечения, используя украденные проекты с открытым исходным кодом. Имена кода изменяются, чтобы репозитории выглядели уникальными и оригинальными. Информация о регистрации компании из Companies House связывается с компаниями с похожими названиями.

Gitbook подробно описывает информацию о компании и перечисляет фальшивые партнерства с инвесторами для создания доверия. Изображения геймплея, украденные из игры Zombie Within game, появляются как контент Eternal Decay. Некоторые фальшивые компании создают магазины мерчандайзинга, чтобы завершить фасады бизнеса.

Эти объединенные элементы создают убедительный вид стартап-компании, повышая успешность заражения. Жертвы получают контакты через сообщения X, Telegram или Discord от сотрудников. Фальшивые работники предлагают криптовалютные платежи за участие в тестировании программного обеспечения.

Вредоносное ПО, нацеленное на пользователей кошельков криптовалюты как для Windows, так и для macOS

Версии для Windows распространяются через приложения на базе Electron, которые требуют коды регистрации от лиц, выдающих себя за сотрудников. Пользователи загружают исполняемые файлы после ввода кодов, полученных через сообщения в социальных сетях. Перед запуском вредоносного ПО на целевых системах отображаются экраны проверки CloudFlare.

Вредоносное ПО собирает профили системы: имя пользователя, данные о процессоре, оперативной памяти и графике. MAC-адреса и системные UUID собираются на этапах предварительной разведки. Механизмы аутентификации на основе токенов используют токены, полученные из URL-адресов запуска приложений.

Украденные сертификаты подписи кода повышают легитимность программного обеспечения и помогают избегать обнаружения средствами защиты. Использовались сертификаты компаний Jiangyin Fengyuan Electronics Co. и Paperbucketmdb ApS. Python загружается и сохраняется во временных директориях для выполнения команд.

Распространение для macOS осуществляется в виде файлов DMG, содержащих скрипты bash и бинарные файлы. Скрипты используют методы обфускации, такие как кодирование base64 и шифрование XOR. AppleScript автоматически монтирует вредоносное ПО и запускает исполняемые файлы из временных директорий.

Вредоносное ПО для macOS выполняет проверки на наличие сред анализа, таких как QEMU, VMWare и Docker. Atomic Stealer нацелен на данные браузеров, криптокошельки, файлы cookie и документы. Украденные данные сжимаются и отправляются на серверы через POST-запросы.

Дополнительные скрипты bash обеспечивают постоянство работы через конфигурации Launch Agent при входе в систему. Вредоносное ПО непрерывно регистрирует использование активных приложений и информацию о окнах. Временные метки взаимодействия с пользователем записываются и периодически передаются на серверы сбора данных.

Обе версии нацелены на кражу данных криптовалютных кошельков. Несколько фиктивных компаний распространяют идентичное вредоносное ПО с разной брендинговой стилистикой и темами.

Обширный список фиктивных компаний, выявленных на нескольких платформах

Darktrace раскрыла несколько фиктивных компаний, участвующих в этой кампании социальной инженерии. Pollens AI имитирует инструменты совместного создания контента, используя аккаунты X и другие веб-сайты. Buzzu использует те же логотипы и код, что и Pollens, но работает под другим брендом.

Сообщается, что Cloudsign предоставляет услуги платформы для подписания документов бизнес-потребителям. Swox — это социальная сеть нового поколения в пространстве Web3. KlastAI тесно связана с аккаунтами и сайтами Pollens, имеющими одинаковый брендинг.

Wasper использует те же логотипы и код GitHub, что и Pollens, в различных областях. Lunelior работает через различные веб-сайты, обслуживающие конкретные группы пользователей. BeeSync ранее функционировала как псевдоним Buzzu до ребрендинга в январе 2025 года.

Slax размещает социальные и AI-ориентированные сайты на нескольких веб-ресурсах. Solune достигает пользователей через активность в социальных сетях и использование мессенджеров. Eternal Decay — это игровая блокчейн-компания с синтетическими презентациями конференций.

Dexis имеет ту же брендинговую стилистику, что и Swox, и разделяет ту же базу пользователей. NexVoo управляет несколькими доменами и социальными платформами. NexLoop переименовала свои репозитории GitHub и сменила название на NexoraCore.

YondaAI нацелена на пользователей социальных сетей и владельцев различных веб-доменов. Каждая компания имеет профессиональный имидж благодаря интеграции с реальными платформами. Группа трафферов CrazyEvil ведет подобные кампании с 2021 года.

Recorded Future оценивает доходы CrazyEvil от вредоносной деятельности в миллионы долларов. Говорят, что группа стоит за атаками на пользователей криптовалют, инфлюенсеров и специалистов DeFi. Кампании демонстрируют масштабные усилия по созданию образа легитимного бизнеса.