报告称，社交工程活动通过虚假初创公司针对加密货币用户

Darktrace的研究揭示了一场针对加密货币用户的持续社交工程活动，通过虚假初创公司进行。骗子冒充AI、游戏和Web3公司，使用伪造的社交媒体账户。

项目文档托管在 Notion 和 GitHub 等合法平台上。该活动自 2024 年 12 月以来持续演变，面向全球 Web3 员工。

虚假公司利用合法平台建立可信的存在感

威胁行为者利用 AI、游戏、视频会议软件等主题创建虚假初创公司。Web3 和社交媒体公司的伪装专门针对加密货币用户。这些行动通常使用经过验证的被盗 X 账户联系受害者。

攻击者使用 Notion、Medium 和 GitHub 等合法平台进行文档记录。专业外观的网站包括员工简介、产品博客、白皮书和开发路线图。X 账户看似被盗，较高的关注者数量增加了其合法性外观。

骗子仍在社交媒体账户上活跃，发布软件开发更新。产品营销内容定期分享，活动跨平台运行。Eternal Decay区块链游戏创建了虚假的会议演示照片以增加可信度。

攻击者甚至修改了意大利展览的照片，使其看起来像公司演示文稿。Medium 托管关于虚假软件产品和公司发展的博客文章。Notion 包含详细的产品路线图和全面的员工列表信息。

GitHub 存储库使用被盗的开源项目展示技术软件方面。代码名称被更改，使存储库看起来独特且原创。来自 Companies House 的公司注册信息链接到名称相似的公司。

Gitbook详细说明了公司信息，并列出了虚假投资者合作伙伴关系以增加可信度。从Zombie Within 游戏中窃取的游戏画面作为Eternal Decay的内容出现。一些虚假公司建立商品商店以完善商业伪装。

这些组合元素创造了令人信服的初创公司外观，提高了感染成功率。受害者通过 X 消息、Telegram 或 Discord 收到来自“员工”的联系。虚假“员工”提供加密货币支付以参与软件测试。

针对 Windows 和 macOS 加密钱包用户的恶意软件

Windows 版本通过 Electron 应用程序分发，要求输入冒充员工的注册码。用户在通过社交媒体消息输入代码后下载二进制文件（Bins）。在目标系统执行恶意软件之前，会显示 CloudFlare 验证屏幕。

恶意软件收集系统配置文件，包括用户名、CPU 详细信息、RAM 和图形信息。MAC 地址和系统 UUID 在初步侦察阶段被收集。基于令牌的认证机制使用从应用程序启动器 URL 派生的令牌。

被盗的代码签名证书增加了软件的合法性并逃避安全检测。使用了 Jiangyin Fengyuan Electronics Co. 和 Paperbucketmdb ApS 等公司的证书。Python 被检索并存储在临时目录中以执行命令。

macOS 版本以包含 bash 脚本和二进制文件的 DMG 文件形式发布。脚本使用 base64 编码和 XOR 加密等混淆技术。AppleScript 自动挂载恶意软件并从临时目录运行可执行文件。

macOS 恶意软件对 QEMU、VMWare 和 Docker 环境执行反分析检查。Atomic Stealer 针对浏览器数据、加密钱包、Cookie 和文档文件。被盗数据被压缩并通过 POST 请求发送到服务器。

额外的 bash 脚本通过登录时的 Launch Agent 配置建立持久性。恶意软件持续记录活跃应用程序的使用情况和窗口信息。用户交互时间戳定期记录并传输到收集服务器。

两个版本都专门针对加密货币钱包数据进行盗窃操作。多个虚假公司分发具有不同品牌和设计主题的相同恶意软件。

跨多个平台识别出的虚假公司名单

Darktrace 揭露了通过此社会工程活动运行的几家虚假公司。Pollens AI 使用 X 账户和其他网站冒充协作创作工具。Buzzu 使用与 Pollens 相同的徽标和代码，但采用不同的品牌。

据报道，Cloudsign 向企业消费者提供文档签名平台服务。Swox 是 Web3 空间的下一代社交网络。KlastAI 与拥有相同品牌的 Pollens 账户和网站密切相关。

Wasper 在各个方面使用与 Pollens 相同的徽标和 GitHub 代码。Lunelior 通过各个网站运营，服务于特定的用户群体。BeeSync 此前作为 Buzzu 的别名运营，直到 2025 年 1 月重新品牌化。

Slax 在多个网站上托管社交媒体和以 AI 为中心的网站。Solune 通过社交媒体平台活动和消息应用程序使用触达用户。Eternal Decay 是一家拥有合成会议演示文稿的区块链游戏公司。

Dexis 的品牌与 Swox 相同，并共享相同的用户群。NexVoo 拥有多个域名和社交媒体平台管理。NexLoop 通过重命名 GitHub 存储库重新品牌化为 NexoraCore。

YondaAI 针对社交媒体网站用户和各种网站域名用户。每家公司都通过真实平台集成程序拥有专业的前端。CrazyEvil 交易集团自 2021 年以来一直在运营此类活动。

Recorded Future 估计 CrazyEvil 从恶意活动中获得数百万收入。该集团据称是攻击加密货币用户、影响者和 DeFi 专业人士背后的黑手。这些活动显示出在建立合法商业外观方面的巨大努力。