GreedyBear骗局通过Firefox扩展程序窃取100万美元加密货币：Koi Security

GreedyBear骗局集团通过协调的攻击活动窃取了超过100万美元的加密货币。

Koi Security报告称，该组织推出了150个武器化的Firefox扩展程序以及500个恶意可执行文件。该行动使用虚假钱包扩展程序、钓鱼网站和恶意软件，针对多个平台上的加密货币用户。

Firefox扩展程序欺诈针对流行的加密货币钱包

GreedyBear骗局在Firefox商店推出了150多个恶意扩展程序，针对加密货币用户。这些恶意扩展程序冒充流行的钱包，如MetaMask、TronLink、Exodus和Rabby Wallet。这些扩展程序都复制了合法的钱包界面，以便在用户尝试登录时劫持用户凭据。

黑客最初制作看起来像真的扩展程序，如链接清理器和YouTube下载器，功能有限。通过一系列5-7个具有新发布者名称的通用实用程序，他们通常在长期内建立信誉。

一旦犯罪分子通过真实的正面评价建立了信任，他们就会完全清空这些扩展程序。他们更改名称、图标并注入有害代码，但保留原始的正面评价历史。这种方法使有害扩展程序在浏览市场的新用户看来值得信赖。

这些扩展程序作为从弹出窗口输入字段中获取钱包凭据的工具。窃取的信息被传输到由犯罪集团控制的远程服务器，以便随后利用。扩展程序还在启动时传输受害者的IP地址以进行跟踪。

此行动是对之前Foxy Wallet活动的后续，当时确定了40个恶意扩展程序。范围现已增加到初始案件的两倍以上。用户报告证实，受害者通过使用这些虚假钱包扩展程序在不同时间段内损失了大量加密货币价值。

多平台攻击结合恶意软件和诈骗网站

GreedyBear 诈骗运营近500个恶意Windows可执行文件，并配合其浏览器扩展活动。这些程序通过俄罗斯网站传播，向毫无戒心的用户分发破解和盗版软件。该恶意软件集合涵盖多个威胁类别，以最大化破坏潜力。

像LummaStealer这样的凭据窃取器针对存储在受害者计算机上的加密货币钱包信息。勒索软件变体加密用户文件并要求支付加密货币以获取解密密钥。通用特洛伊木马在需要时提供后门访问以交付其他有效载荷。

该集团还维护着一个冒充加密货币服务网站的基础设施用于数据盗窃。这些诈骗网站看起来像合法的加密货币服务，而不是典型的钓鱼页面。带有Jupiter品牌的硬件钱包也包含伪造的界面模型，以欺骗潜在购买者透露支付详情。

报告中引用的另一个例子是声称为沮丧的客户维修损坏的Trezor产品的钱包维修网站。这些冒充网站伪装成技术支持，窃取钱包恢复短语和私钥。一些域名处于活动状态，而其他域名处于休眠状态，等待未来的针对性攻击。

攻击方法的多样性表明，GreedyBear骗局运营着一个广泛的分发管道，而不是专注于单一技术。这种多样化的方法允许该集团根据最有效的方法调整策略。跨不同恶意软件家族的基础设施重用证实了所有活动组件背后的集中协调。

中央服务器控制全球盗窃活动

GreedyBear通过位于185.208.156.66的单个IP地址运营其整个犯罪企业。扩展程序、恶意软件有效载荷和钓鱼网站使用的几乎所有域名都连接到这个中央服务器。这个枢纽处理命令与控制通信、凭据收集、勒索软件协调和诈骗网站托管。

集中式基础设施允许攻击者高效地简化跨多个攻击渠道的操作。来自浏览器扩展程序、恶意软件感染和网站受害者的数据都流向同一个收集点。这种方法简化了管理，同时提供了关于目标受害者的全面情报。

Koi Security发现该集团已经开始扩展到Firefox浏览器之外。几个月前，一个名为Filecoin Wallet的恶意Chrome扩展程序使用了相同的凭据窃取方法。这个Chrome扩展程序与托管在相同185.208.156.66服务器基础设施上的域名进行通信。

这种联系证实GreedyBear正在测试不同浏览器生态系统中的操作。Chrome、Edge和其他浏览器在未来几个月可能会面临类似的扩展程序活动。该集团愿意跨平台实验表明其致力于扩大运营规模。

根据代码分析，AI工具帮助加速了该活动的增长和复杂性。恶意软件中的生成工件表明人工智能协助有效载荷创建和扩展。这项技术允许更快的开发周期，并在不同平台上更好地逃避安全检测系统。