Новое исследование компании Darktrace показало, что злоумышленники активно используют социальную инженерию для кражи средств криптовалютных пользователей. Они создают поддельные стартапы, имитируя деятельность компаний в сфере искусственного интеллекта, игр и Web3, а для убедительности используют скомпрометированные аккаунты в соцсетях и размещают поддельную документацию на популярных платформах, таких как Notion и GitHub.
Описание
Аналитики Darktrace установили, что эта схема действует уже несколько месяцев. В декабре 2024 года Cado Security Labs сообщали о подобной атаке под названием Meeten, в рамках которой злоумышленники представлялись сотрудниками видеоконференц-сервисов, заставляя жертв устанавливать вредоносное ПО. Оказалось, что преступники не прекратили свою деятельность и продолжают обманывать пользователей, вынуждая их загружать программы для кражи криптовалютных активов.
Преступники тщательно продумывают свои атаки, создавая видимость легальных компаний. Они используют скомпрометированные аккаунты в X (бывший Twitter), включая верифицированные, чтобы убедить жертв в своей надежности. Кроме того, для имитации реальной деятельности организаций злоумышленники публикуют посты о «разработке» продукта, размещают фальшивые дорожные карты проектов и даже используют украденные изображения с конференций, выдавая их за свои.
Один из примеров - фейковая компания Eternal Decay, якобы занимающаяся блокчейн-играми. Ее создатели украли изображения из другой игры, редактировали их и публиковали в соцсетях, чтобы создать впечатление реального проекта. Также они использовали Gitbook для размещения информации о «компании», включая фальшивые данные о регистрации и инвесторах.
Для привлечения жертв мошенники связываются с ними через X, Telegram или Discord, предлагая протестировать их ПО в обмен на криптовалютное вознаграждение. После этого пользователя направляют на поддельный сайт, где он должен ввести регистрационный код и скачать вредоносное приложение. В зависимости от операционной системы жертве предлагают загрузить версию для macOS или Windows.
Windows-версия вредоноса
Вредоносная программа для Windows построена на базе Electron - фреймворка для запуска JavaScript-приложений на ПК. После запуска пользователь видит экран проверки Cloudflare, но на самом деле в этот момент происходит сбор данных о системе, включая имя пользователя, параметры процессора, объем оперативной памяти и MAC-адрес. Далее зловред загружает дополнительные исполняемые файлы и использует Python для взаимодействия с сервером управления.
Одна из особенностей этой кампании - применение украденных сертификатов цифровой подписи для маскировки под легальное ПО. В частности, были обнаружены сертификаты компаний Jiangyin Fengyuan Electronics Co., Ltd. и Paperbucketmdb ApS (отозван в июне 2025 года). Это помогает злоумышленникам обходить защитные механизмы и выглядеть более убедительно.
Версия для macOS
Если жертва использует Mac, ей предлагают скачать DMG-файл, содержащий обфусцированный bash-скрипт и вредоносный бинарный файл. После расшифровки скрипт перемещает скрытый исполняемый файл в систему и делает его активным.
Основная вредоносная нагрузка - это Atomic Stealer, макропрограмма, которая ворует данные браузеров, криптокошельки, куки и документы. Украденная информация упаковывается в архив и отправляется на сервер злоумышленников. Кроме того, преступники устанавливают механизмы персистентности, чтобы вредонос оставался в системе даже после перезагрузки.
Эта кампания демонстрирует, насколько изощренными стали современные киберпреступники. Они не только используют сложные технические методы, но и тратят значительные усилия на создание правдоподобной легенды, чтобы жертвы не сомневались в легальности предложений. Пользователям криптовалют следует быть особенно осторожными: проверять источники, избегать загрузки подозрительных файлов и никому не передавать приватные ключи от кошельков.
Индикаторы компрометации
