Поддельный топ-менеджер CoinDesk рассылал в X ссылки на Google-документ, крадущий криптовалюту

Обращения выглядели массовыми. Аккаунт использовал чужое имя и фотографию другого человека, а текст строился вокруг одной темы - предстоящей или прошедшей конференции по криптовалютам. Жалобы на него встречались в соцсетях с октября 2025 года. Отдельная деталь: английский у собеседника был неровным. Многие считают это верным признаком мошенника. Аналитики Huntress Райан Дауд и Джон Семон возражают. Инструменты автоматической проверки текста позволяют писать безупречно. Неровная, живая речь сегодня вызывает больше доверия, чем гладкие шаблоны.

По данным Huntress, боковая панель была не картинкой, а кодом, привязанным к документу. Он выполнялся в браузере читателя. Скачивать ничего не требовалось. Подтверждение доступа также не запрашивалось. Код определял настоящий сетевой адрес посетителя и примерное местоположение, распознавал браузер и проверял, установлены ли расширения криптокошельков. Собранные сведения уходили злоумышленнику. Открыть документ, будучи авторизованным, и не нажать ни одной кнопки - уже достаточно для утечки. Дальнейшие действия лишь показывали, насколько цель интересна атакующему.

Пользователей разных систем разводили по разным сценариям. Владельцам Windows предлагали обновить служебный компонент Google - на деле запускался файл, подписанный сертификатом небольшой норвежской компании. Позже в цепочке появились ещё два чужих сертификата: один принадлежал Discord, другой - Lenovo. Все три оказались украдены или выданы незаконно. Пользователи macOS получали либо команды для терминала, либо установочный образ из хранилища кода, принадлежащего атакующему. Мобильные посетители не получали ничего: рассылать полезную нагрузку на телефон злоумышленник посчитал бессмысленным.

На Mac устанавливался вариант известной программы для кражи данных AMOS. Он собирал сведения браузеров, кошельков, мессенджера Telegram, заметок и файлов cookie, а также данные из системного хранилища паролей и ключей. Установочный образ сопровождался подсказками, как обойти встроенную защиту macOS, и запросом пароля. Аналитик Райан Дауд описал этот вариант как рассчитанный на незаметность и долгое присутствие в системе. По его словам, он напоминает цепочку другого похитителя данных, разобранную месяцем ранее.

На Windows исполняемые файлы доставлялись через штатный механизм Microsoft для установки приложений. После запуска на экране появлялось окно магазина расширений Google, отвлекавшее жертву, пока в фоне скачивался вредоносный код. Отдельная ветка включала длинную команду, которая загружала промежуточный модуль, а тот - три зашифрованные полезные нагрузки. Все три к моменту анализа уже были неактивны, но их образцы находились в публичной базе проверок. Набор применяли и раньше. Для убедительности жертве показывали поддельную шкалу установки. Аналитики отметили, что на неё потратили больше старания, чем на часть остальной кампании.

Переписка не прекращалась. Злоумышленник прислал вторую ссылку, теперь через сервис Dropbox DocSend. Пути снова разделились: владельцев Mac отправляли на тот же похититель данных, владельцам Windows предлагали установить настольное приложение сервиса. Установщик был подписан сертификатом, украденным у Discord, и подпись не проходила проверку. Ничего из Dropbox в итоге не устанавливалось. Вместо этого жертву проводили через несколько экранов с реальной маркетинговой кампанией сервиса - они ничего не делали, только отвлекали.

Финальный этап начинался со снимка рабочего стола, который уходил атакующему. Затем загружались три архива под паролем, а пароль приходил в ответе командно-контрольного сервера. Первым устанавливался NetSupport Manager - легитимный инструмент удалённого мониторинга, который злоумышленники используют регулярно. Он закреплялся в системе множеством способов: служба, задача по расписанию, перехват нажатий клавиш, повторная установка после удаления. Второй модуль маскировался под драйвер Lenovo и создавал в системе собственный удостоверяющий центр. Третий, названный именем кошелька Ledger, искал установленные приложения для работы с криптовалютой и ждал команд. За время наблюдения он опросил сервер 18 раз и не получил ни одной задачи.

Наиболее опасным аналитики считают поддельный удостоверяющий центр. Он прописывался в доверенном хранилище системы и выглядел как сертификат крупного публичного сервиса. Дополнительно появлялись записи в системном файле сопоставления имён и правило межсетевого экрана. В результате браузер видел корректное защищённое соединение там, где ответ подделывал злоумышленник. Это позволяло подменять результаты проверок сайтов на вредоносность, блокировать обращения к нужным ресурсам и перехватывать данные криптокошельков. Сертификат создавался заново на каждой машине, поэтому блокировка по отпечатку бесполезна. Процесс исчезает после перезагрузки, а созданные им артефакты остаются. Удалить их надёжно можно только полной переустановкой системы.

Ещё одним направлением стали домены с приманкой вокруг ненайденной копии Grand Theft Auto VI. На том же сервере, к которому обращался первый модуль, обнаружились два новых имени, нацеленных на людей, ищущих утёкшую версию игры. Инфраструктура продолжает работать и обслуживать другие схемы. Джон Семон отметил, что связать кампанию с конкретной группировкой нельзя: за ней может стоять один человек, использующий готовые инструменты и нейросети.

Сотрудникам стоит открывать незнакомые документы в режиме без входа в учётную запись: тогда код внутри не получит доступ к данным профиля. Ссылки от новых знакомых в соцсетях разумно проверять через другой канал связи. После заражения недостаточно завершить подозрительный процесс, нужна полная переустановка системы. Райан Дауд подчеркнул, что поддельный удостоверяющий центр чаще всего переживает обычную чистку, и при разборе инцидента это обстоятельство недооценивают. Напоследок злоумышленник отправил ещё одно сообщение: предложил финансирование проектов и упомянул готовность вложить до миллиона долларов. Ответа он не получил.