Главная страница » Индикаторы компрометации
0
1 год
Индикаторы компрометации

Gруппировка GreedyBear развернула беспрецедентную кампанию по краже криптоактивов

APT

Киберпреступная группа GreedyBear провела скоординированную атаку промышленного масштаба, объединив три вектора компрометации пользователей криптовалют. Согласно данным исследования компании Koi Security, злоумышленники создали арсенал из 150+ вредоносных расширений Firefox, почти 500 зловредных исполняемых файлов для Windows и сеть фишинговых сайтов. Инфраструктура кампании сконцентрирована вокруг одного сервера (185.208.156.66), что указывает на высокую степень централизации управления. По оценкам, ущерб от действий группы превысил $1 млн.

Описание

Техника подмены расширений

Группа освоила методику "Extension Hollowing" для обхода проверок маркетплейса Firefox. Вместо прямой загрузки вредоносных расширений, злоумышленники сначала создавали респектабельную цифровую репутацию. Они регистрировали нового издателя, загружали 5-7 безобидных утилит (например, для очистки ссылок или загрузки видео), а затем накручивали положительные отзывы. После формирования доверия происходила "подмена": расширения переименовывались, меняли иконки на подделки популярных криптокошельков (MetaMask, TronLink, Exodus, Rabby Wallet) и наполнялись вредоносным кодом. Модифицированные версии сохраняли историю позитивных оценок, что снижало бдительность пользователей.

Вредоносный код внедренных расширений перехватывал вводимые в интерфейсе кошелька учетные данные и передавал их на серверы злоумышленников вместе с IP-адресом жертвы. Исследователи отмечают, что текущая кампания является развитием ранее выявленной операции "Foxy Wallet", но масштаб инструментария вырос более чем вдвое.

Многообразие вредоносных программ

Почти 500 вредоносных EXE-файлов, связанных с GreedyBear, были обнаружены через VirusTotal. Зловреды включают разнообразные семейства: стилеры учетных данных (LummaStealer), программы-вымогатели (некоторые напоминают Luca Stealer), а также троянцы, предположительно выполняющие функции загрузчиков. Основными каналами распространения стали русскоязычные сайты, предлагающие взломанное или перепакованное ПО, такие как rsload.net. Критически важным доказательством связи этих образцов с основной кампанией стало использование ими тех же серверов, что и в операциях с расширениями.

Фишинговые ловушки

Третьим компонентом атаки стали профессионально оформленные фишинговые сайты, имитирующие легальные криптосервисы. В отличие от типичных подделок страниц входа, GreedyBear создавала полноценные лендинги, рекламирующие несуществующие продукты: аппаратные кошельки под брендом Jupiter, услуги по "ремонту" устройств Trezor (secure-wallets.co.com) и другие. Целью этих ресурсов был сбор конфиденциальной информации, учетных данных или платежных реквизитов жертв. Часть доменов уже активно использовалась, другие могли находиться в стадии подготовки к будущим атакам.

Централизованная инфраструктура

Уникальной чертой GreedyBear стала беспрецедентная консолидация инфраструктуры. Практически все домены, используемые в трех векторах атак, направляют трафик на единый IP-адрес 185.208.156.66. Этот сервер функционирует как центральный хаб для управления командой и контролем (C2), сбора украденных данных, координации действий программ-вымогателей и хостинга фишинговых платформ. Такая централизация упрощает управление разнородной кампанией, но одновременно создает уязвимость - выход сервера из строя парализует все операции.

Тенденции и прогнозы

Обнаружение зловредного расширения "Filecoin Wallet" для Chrome, связанного с тем же сервером, указывает на планы группы по экспансии за пределы Firefox. Исследователи предупреждают о высокой вероятности распространения аналогичных атак на браузеры Chrome, Edge и другие экосистемы. Важным фактором, способствующим масштабированию угроз, стало использование искусственного интеллекта. Анализ кода кампании выявил артефакты, характерные для ИИ-генерации, что позволяет злоумышленникам ускорить разработку инструментов, диверсифицировать нагрузку и усложнять детектирование.

"Эра, когда недоверенный сторонний код с высокими привилегиями оставался вне фокуса внимания предприятий и злоумышленников, завершается. Это новая реальность", - отмечают в Koi Security. В отчете подчеркивается символичность выявления кампании вскоре после того, как MITRE добавила новую категорию уязвимостей - IDE Extensions, что указывает на растущую важность защиты этого сегмента. Исследователи выражают благодарность Лотему Хахане (Lotem Khahana) из StarkWare за помощь в расследовании. Наблюдаемый масштаб и мультиплатформенность GreedyBear демонстрируют эволюцию киберпреступности в сторону комплексных, корпоративно организованных операций, требующих столь же продвинутых мер противодействия.

Индикаторы компрометации

Сдаётся рекламное место
Комментарии: 0
Похожие записи
0
25.08.2025
Индикаторы компрометации

Группировка Scattered Spider: от атак на корпорации до громких арестов

APT
Группа хакеров, известный под именами Scattered Spider, UNC3944, 0ktapus и другими псевдонимами, остается одной из самых активных и быстро развивающихся киберпреступных группировок.
0
21.05.2025
Индикаторы компрометации

Троянизированный менеджер паролей KeePass крадёт данные и распространяет вымогателей

Троянизированный менеджер паролей KeePass крадёт данные и распространяет вымогателей
Компания WithSecure опубликовала расследование о масштабной кибератаке, в ходе которой злоумышленники модифицировали исходный код популярного менеджера паролей KeePass.