В SlowMist рассказали о популярных методиках криптомошенников во II квартале

Что произошло? Аналитики ИБ-компании SlowMist выпустили отчет по итогам исследования криптомошенничества во II квартале, где отметили, что злоумышленники не модернизировали свои подходы с технической точки зрения, однако стали чаще прибегать к психологическому давлению и манипуляциям. Отмечается, что в отчетном периоде фишинг стал самым популярным способом кражи криптоактивов среди мошенников.

Отчет SlowMist

Что еще известно? Согласно отчету, появилась новая фишинговая техника, включающая эксплойт функции блокчейна Ethereum, внедренной в результате предложения улучшения под номером EIP-7702.

Известен случай, когда пользователь подвергся атаке группы Inferno Drainer при взаимодействии с авторизацией EIP-7702, что привело к потере более $140 000.

Метод злоумышленника был не сложным с технической точки зрения, но креативным, пишут авторы отчета. В этом случае адрес пользователя не был заменен на адрес контракта EIP-7702 с помощью традиционного фишинга. Фактически адрес мошенника представлял собой законный контракт, который существовал несколько дней.

С помощью абуза механизма EIP-7702 Delegator в кошельке MetaMask злоумышленник выполнил операции по массовому утверждению отправки токенов с адреса жертвы.

EIP-7702 позволяет адресу пользователя следовать поведению контракта после делегирования управления. Если пользователь делегирует свой адрес вредоносному контракту, это создает очевидные риски. Однако даже если сам контракт является легитимным, его все равно можно использовать с целью кражи активов.

Также аналитики выявили новый вектор атаки — расширения браузера, маскирующиеся под плагины безопасности. Одно из таких расширений для Chrome под названием Osiris якобы обнаруживает фишинговые ссылки и подозрительные веб-сайты.

Злоумышленники обычно продвигали это расширение на социальных платформах. После установки оно перехватывает загрузку файлов в форматах .exe, .dmg, .zip и некоторых других, заменяя их вредоносными программами.

Более того, злоумышленники направляют пользователей на известные веб-сайты, такие как Notion или Zoom. Когда пользователь загружает ПО с этих официальных сайтов, файлы заменялись на вредоносные, при этом браузер отображает загрузку как исходящую из надежного источника.

Такие вредоносные программы собирают конфиденциальную информацию с компьютера жертвы, включая локальные данные браузера Chrome и учетные данные macOS Keychain, и загружают их на сервер злоумышленника.

Это позволяет извлекать seed-фразы, закрытые ключи или учетные данные для входа, а затем красть криптоактивы и захватывать аккаунты на криптобиржах, в соцсетях и мессенджерах.

Компрометация данных соцсетей также дает мошенникам возможность для кражи активов. Во II квартале SlowMist получила множество сообщений от пользователей, чьи аккаунты WeChat были взломаны.

Получив контроль над аккаунтом, злоумышленники выдают себя за владельца и предлагают людям в списке контактов купить стейблкоины USDT по сниженным ценам, что также приводит к финансовым потерям.

Также зафиксированы случаи, когда жертвы покупали холодные аппаратные криптокошельки с вредоносной прошивкой, в том числе на маркетплейсах. Один пострадавший потерял таким образом 6,5 млн долларов.

Такие кошельки мошенники распространяют в том числе через соцсети от имени реальных компаний-производителей, заявляя жертвам, что те якобы выиграли устройство в розыгрыше.