Группа мошенников GreedyBear организовала масштабную атаку, целью которой стали пользователи криптовалют. С помощью 150 вредоносных расширений Firefox и 500 вредоносных программ они похитили более $1 миллиона.
Мошеннические расширения Firefox нацелены на криптовалютные кошельки
GreedyBear запустила более 150 вредоносных расширений в магазине Firefox, нацеливаясь на пользователей криптовалютных кошельков. Эти расширения копируют интерфейсы популярных кошельков, таких как MetaMask, TronLink и Exodus, чтобы похищать учетные данные пользователей, когда они пытаются войти в свои аккаунты.
Мошенники первоначально создают внешне приличные расширения с ограниченной функциональностью, что позволяет им завоевать доверие пользователей. Как только они формируют положительное имидж, они полностью изменяют эти расширения, добавляя вредоносный код, но сохраняя историю положительных отзывов, что делает их более привлекательными для новых пользователей.
Атака на нескольких платформах: вредоносное ПО и мошеннические сайты
GreedyBear также управляет почти 500 вредоносными исполняемыми файлами для Windows, распространяемыми через русские сайты, которые предлагают взломанное и пиратское ПО. Среди вредоносных программ есть кражи учетных данных, такие как LummaStealer, которым целью являются кошельки пользователей, а также варианты программ-вымогателей, которые шифруют файлы пользователей и требуют криптовалюту за ключи расшифровки. Группа использует имитации криптосервисов для кражи данных, создавая сайты, которые выглядят как законные криптосервисы.
Централизованный контроль серверов и новые возможности управления
GreedyBear управляет своей преступной сетью через единственный IP-адрес. Все домены, используемые в расширениях, вредоносных программах и мошеннических сайтах, подключаются к этому центральному серверу. Это позволяет упрощать управление операциями и собирать данные о жертвах. Группа уже начала экспериментировать с другими браузерами, используя аналогичные методы кражи учетных данных. Анализ кода показал, что искусственный интеллект может помочь в ускорении роста и сложности кампании.
Данные, собранные Кои Security, свидетельствуют о том, что мошеннические схемы GreedyBear продолжают эволюционировать с использованием современных технологий и социальной инженерии для обмана пользователей криптовалюты.
