El atraco de criptomonedas está impulsado por una elaborada campaña de reputación falsa

Los ciberdelincuentes han construido una sofisticada red de reputación global que consta de repositorios de GitHub, proyectos de SourceForge, videos falsos de YouTube y otros activos en línea como parte de un atraco a gran escala de criptomonedas dirigido a plataformas Windows y macOS.

Aunque la campaña no está dirigida específicamente a organizaciones, los investigadores dicen que muestra una evolución en el sentido de que los actores de amenazas ya no necesitan depender de los canales tradicionales de distribución de malware y, en su lugar, pueden utilizar ingeniería social avanzada para llegar directamente a la fuente, dijeron los investigadores.

Check Point Software ha descubierto la campaña que difunde una campaña basada en RUST Malware que secuestra el portapapeles Está dirigido a «usuarios que buscan atajos y ganancias rápidas, particularmente propietarios de criptomonedas y jugadores y comerciantes de juegos en línea que se sienten atraídos por promesas de ganancias automatizadas y resultados 'predecibles'», dijo en una publicación. publicado la semana pasada.

Quizás lo más notable de la campaña, sin embargo, no sea necesariamente a quién se dirige o el malware ellos mismos, sino más bien la amplia publicidad multicanal que los atacantes utilizaron para convencer a los usuarios de que descargar sus herramientas falsas les daría una «ventaja injusta» en sus actividades criptográficas.

Relacionado:El robo de datos de Salesforce continúa a través del compromiso de la aplicación Klue

La carga útil final de la campaña es un secuestrador del Portapapeles con versiones de Windows y macOS. Ambas versiones están diseñadas para robar criptomonedas lejos de sus objetivos recuperando repetidamente direcciones de billeteras criptográficas de sus portapapeles y manteniendo la persistencia en el dispositivo comprometido. Las criptomonedas y plataformas objetivo incluyen: bitcóinEthereum, Monero, Binance Chain y Solana, entre otros.

Manipulación coordinada de la reputación

El centro de la campaña es un sitio de phishing basado en WordPress donde los ciberdelincuentes ofrecen «herramientas» como programas de descifrado que, según afirman, darán una ventaja a los usuarios. Comercio de criptomonedas. Pero la promoción de descargas que ocultan malware también se extiende a los proyectos de GitHub y SourceForge, promovidos por cuentas falsas que brindan comentarios positivos sobre los proyectos en sus respectivas plataformas.

Además, los atacantes crearon un canal especial de YouTube que, según la publicación, utiliza narradores generados por inteligencia artificial (IA), «picos de visualización sospechosos y comentarios muy positivos (probablemente coordinados)», todo lo cual crea aún más la ilusión de popularidad y confiabilidad de las herramientas falsas.

La campaña también utiliza la plataforma de escaneo de malware. VirusTotal, donde algunos ejemplos de esta campaña reciben votos favorables y comentarios “seguros”. «Combinado con la ya baja tasa de detección, esto crea una impresión engañosa de seguridad que puede afectar tanto a los usuarios finales como a los sistemas de detección basados ​​en la reputación», dice la publicación.

Relacionado:INC Ransomware se esfuerza por dominar los conceptos básicos

Los investigadores descubrieron que los actores de amenazas incluso utilizaron sitios legítimos de noticias en línea para publicar historias falsas sobre la liberación del Descifrador se anunciaba en la página de phishing, promocionaba las capacidades falsas de la herramienta e incluía enlaces a la página de phishing. «No está claro si el actor de amenazas los publicó a través de publicidad paga que luego fue eliminada por los medios de comunicación después de ser informados de su naturaleza maliciosa, o si existe un servicio malicioso – o un conjunto de medios de noticias comprometidos – que ofrece este tipo de publicidad engañosa en sitios web legítimos», escribieron los investigadores de Check Point.

Nuevo enfoque para la entrega de malware

Eli Smadja, jefe de grupo de investigación y desarrollo de productos de Check Point Software, dice a Dark Reading que definitivamente es inusual que los ciberdelincuentes hagan todo lo posible para distribuir este tipo de malware, ya que no es común ver una gama tan amplia de malware. Fuentes de reputación online Se utilizan para generar confianza y credibilidad.

«Lo que hace que esto sea único es la forma en que los atacantes combinaron múltiples plataformas confiables para generar credibilidad e incluso manipularon VirusTotal (usado típicamente por investigadores de seguridad) para hacer que las detecciones parecieran falsos positivos y reforzar una falsa sensación de legitimidad», dice.

Relacionado:El atraco de recolección de credenciales a gran escala compromete más de 30.000 dispositivos Fortinet

Según Check Point, este enfoque representa un cambio de paradigma en la forma en que los atacantes pueden manipular los sistemas de reputación, la retroalimentación colectiva y la publicidad multiplataforma para ganarse la confianza de las víctimas potenciales y lograr un mayor éxito con este tipo de campañas.

“Desde la perspectiva del usuario, la capacidad de manipular el sentimiento y la reputación en plataformas como VirusTotal marca un avance importante en la forma en que operan los actores de amenazas. Creando confianzadice la publicación. «Si bien esta campaña no está dirigida principalmente a grandes organizaciones, muestra que los atacantes ya no dependen únicamente de las técnicas clásicas de distribución de malware para llegar a las víctimas».

Defensa contra nuevas campañas de confianza

A medida que los atacantes tienen cada vez más oportunidades de propagar malware, los defensores deberían mirar la reputación en línea con sospecha. Incluso los usuarios corporativos pueden permitir que las descargas de malware eludan las defensas corporativas, por lo que los equipos de seguridad también deberían prestar atención a las nuevas estrategias de generación de confianza utilizadas en esta campaña, según Check Point.

Las acciones recomendadas para los equipos de seguridad incluyen considerar las señales de reputación de la comunidad como potencialmente dañinas y educar a los usuarios sobre ellas. Estafas centradas en criptomonedas prometedores beneficios automatizados, herramientas de previsión o ventajas comerciales.

Las soluciones de protección de endpoints también son útiles porque «pueden ayudar a bloquear el código malicioso, ya que los sitios web que lo promocionan no son inherentemente maliciosos», le dice Smadja a Dark Reading. Para fortalecer esta protección, los defensores empresariales pueden monitorear el comportamiento de secuestro del Portapapeles en los programas de detección de terminales, particularmente los oyentes del Portapapeles que interactúan con ellos. Cartera de criptomonedas Patrón.