Фирма SlowMist, занимающаяся кибербезопасностью, сообщила о новом векторе, нацеленном на пользователей криптовалют и Web3. Эта афера, которая привела к краже средств у ничего не подозревающей жертвы, загрузившей приложение из Интернета, подчеркивает растущую изощренность киберпреступников, нацеленных не только на кошельки и биржи, но и на широко используемые приложения для социальных сетей.
SlowMist раскрывает сложную фишинговую операцию с использованием поддельного приложения Skype
Согласно отчету, атака была направлена в основном против пользователей в Китае. В регионе ограничения в отношении обычных магазинов приложений вынуждали пользователей загружать неофициальные версии программного обеспечения, создавая более серьезные уязвимости.
Skype, WhatsApp, Telegram и другие важные приложения часто становятся объектами таких атак. В данном случае охранная фирма расследовала атаку с использованием поддельной версии Skype, в результате которой пострадал человек, потерявший 200 000 долларов США.
При проверке информация о подписи поддельного приложения Skype сразу же вызвала тревогу: она была слишком «упрощенной» и помечена просто как «CN», как показано на изображении ниже.
Это, а также недавняя дата вступления сертификата в силу — 11 сентября 2023 года — позволяет предположить, что сертификат был создан недавно, скорее всего, китайской фишинговой группой. Приложение использовало устаревшую версию Skype и было обнаружено в нескольких интернет-источниках, что соответствует учетной записи жертвы.
Более глубокий взгляд на фишинговую атаку
Команда SlowMist провела более глубокий анализ и обнаружила, что приложение было усилено с помощью Bangcle — тактики, распространенной в поддельных приложениях и препятствующей анализу. Декомпиляция APK выявила изменения в сетевой структуре okhttp3, позволяющие приложению перехватывать различные данные с устройства пользователя.
Этот модифицированный okhttp3 был разработан для загрузки изображений и отслеживания новых в режиме реального времени, отправляя их на фишинговый сервер.
Фишинговый сервер «bn-download3.com» ранее выдавал себя за биржу Binance, а затем имитировал серверную часть Skype. Этот домен был частью серии, используемой фишинговой группировкой, что указывает на их неоднократные нарушения в мире Web3.
Приложение также запрашивало разрешения пользователей под видом функций социальных сетей, а затем начало загружать личные данные, включая изображения, информацию об устройстве и номера телефонов. Еще более зловещим поворотом стало то, что приложение отслеживало и заменяло криптовалютные адреса в сообщениях на вредоносные, контролируемые злоумышленниками.
Команда SlowMist успешно внесла вредоносные адреса в черный список и с помощью анализа MistTrack обнаружила значительные объемы транзакций USDT, связанных с этими адресами, при этом средства переводились через различные сервисы.
Украденные средства были отправлены на следующие адреса в блокчейне TRON и Ethereum: TJhqKzGQ3LzT9ih53JoyAvMnnH5EThWLQB и TEGtKLavujdMrYxQWAsowXqxUHMdurUhRP (TRON). На втором блокчейне: 0xF90acFBe580F58f912F557B444bA1bf77053fc03, 0x03d65A25Db71C228c4BD202C4d6DbF06f772323A.
Этот случай отражает предыдущее мошенничество с фальшивым приложением Binance, о котором сообщалось в конце 2022 года и выявило схему сложных фишинговых операций. Пользователям настоятельно рекомендуется скачивать приложения только с официальных каналов и проявлять бдительность в отношении подобных обманов.
Команда безопасности SlowMist подчеркивает важность повышения осведомленности о безопасности в пространстве блокчейна. На момент написания этой статьи цена Ethereum (ETH) торгуется на уровне $2060.
Обложка из Unsplash, диаграмма из Tradingview
