.jpeg)
Un groupe de cybercriminels sophistiqués connu sous le nom de « GreedyBear » a considérablement intensifié ses opérations de vol de cryptomonnaies, atteignant une « échelle industrielle » de gains illicites. En employant une stratégie multifacette qui inclut des extensions de navigateur malveillantes, des logiciels malveillants à thème crypto et des sites web trompeurs, le groupe a réussi à voler plus d'un million de dollars en actifs numériques. Cette tendance alarmante met en lumière une nouvelle phase plus agressive de la cybercriminalité axée sur les cryptomonnaies.
La stratégie d'attaque à multiples facettes de GreedyBear
GreedyBear s'est distingué en ne se spécialisant pas dans un seul vecteur d'attaque, mais plutôt en combinant magistralement plusieurs méthodes. Cette approche intégrée, qui comprend des extensions de navigateur malveillantes, des rançongiciels et des tactiques de type hameçonnage, s'est avérée « spectaculairement » efficace, selon la société de cybersécurité Koi Security.
Points clés à retenir :
-
Le groupe a volé plus d'un million de dollars en utilisant plus de 650 outils malveillants.
-
GreedyBear cible les utilisateurs de portefeuilles crypto via une combinaison d'extensions de navigateur, de logiciels malveillants et de sites web frauduleux.
-
La technique d'« évidement d'extension » (Extension Hollowing) est utilisée pour contourner les contrôles de sécurité des places de marché.
-
Du code généré par l'IA est utilisé pour étendre et diversifier rapidement les attaques.
Extensions de navigateur malveillantes
Une partie importante des opérations de GreedyBear implique l'infiltration des places de marché de navigateurs, en particulier Firefox, avec plus de 150 fausses extensions. Ces extensions sont conçues pour imiter des portefeuilles crypto populaires comme MetaMask, TronLink, Exodus et Rabby Wallet. Le groupe utilise une technique appelée « évidement d'extension » (Extension Hollowing), où une extension d'apparence initialement légitime est approuvée par la place de marché, pour être ensuite mise à jour avec du code malveillant afin de voler les identifiants de portefeuille. Cette tactique leur permet de contourner les contrôles de sécurité initiaux et d'exploiter la confiance des utilisateurs.
Logiciels malveillants à thème crypto et sites web frauduleux
Au-delà des extensions de navigateur, GreedyBear a déployé près de 500 échantillons de logiciels malveillants à thème crypto, y compris des voleurs d'identifiants comme LummaStealer et des variantes de rançongiciels telles que Luca Stealer. Ceux-ci sont souvent distribués via des sites web russes proposant des logiciels piratés. Ces efforts sont complétés par un réseau de sites web frauduleux sophistiqués qui usurpent l'identité de produits et services légitimes liés aux cryptomonnaies, tels que des portefeuilles numériques ou des dispositifs matériels. Ces sites font partie d'une infrastructure centralisée, avec une seule adresse IP servant souvent de centre de commande et de contrôle pour diverses activités illicites.
La nouvelle normalité de la cybercriminalité crypto
Les experts avertissent que les méthodes de GreedyBear, y compris l'utilisation de code généré par l'IA pour une mise à l'échelle et une diversification rapides, représentent une évolution significative de la cybercriminalité axée sur les cryptomonnaies. Cette approche exploite la confiance des utilisateurs et contourne les mesures de sécurité traditionnelles en intégrant une logique malveillante directement dans les interfaces des portefeuilles. La campagne souligne le besoin urgent de protocoles de sécurité améliorés, d'une vérification plus stricte par les fournisseurs de plateformes et d'une vigilance accrue des utilisateurs dans l'écosystème des actifs numériques.