.jpeg)
Un sofisticato gruppo di cybercriminali noto come "GreedyBear" ha intensificato drasticamente le sue operazioni di furto di criptovalute, raggiungendo una "scala industriale" di guadagni illeciti. Impiegando una strategia multi-sfaccettata che include estensioni del browser dannose, malware a tema cripto e siti web ingannevoli, il gruppo ha rubato con successo oltre 1 milione di dollari in asset digitali. Questa tendenza allarmante evidenzia una nuova fase, più aggressiva, nel cybercrimine incentrato sulle criptovalute.
Strategia di Attacco Multi-Fase di GreedyBear
GreedyBear si è distinto per non essersi specializzato in un singolo vettore di attacco, ma piuttosto per aver combinato magistralmente più metodi. Questo approccio integrato, che include estensioni del browser dannose, ransomware e tattiche simili al phishing, si è dimostrato "spettacolarmente" efficace, secondo l'azienda di cybersecurity Koi Security.
Punti chiave:
-
Il gruppo ha rubato oltre 1 milione di dollari utilizzando più di 650 strumenti dannosi.
-
GreedyBear prende di mira gli utenti di wallet crypto attraverso una combinazione di estensioni del browser, malware e siti web truffa.
-
La tecnica "Extension Hollowing" viene utilizzata per aggirare i controlli di sicurezza del marketplace.
-
Il codice generato dall'IA viene utilizzato per scalare e diversificare rapidamente gli attacchi.
Estensioni del Browser Dannose
Una parte significativa dell'operazione di GreedyBear prevede l'infiltrazione nei marketplace dei browser, in particolare Firefox, con oltre 150 estensioni false. Queste estensioni sono progettate per imitare popolari wallet crypto come MetaMask, TronLink, Exodus e Rabby Wallet. Il gruppo impiega una tecnica chiamata "Extension Hollowing", in cui un'estensione inizialmente dall'aspetto legittimo viene approvata dal marketplace, solo per essere successivamente aggiornata con codice dannoso per rubare le credenziali del wallet. Questa tattica consente loro di aggirare i controlli di sicurezza iniziali e sfruttare la fiducia degli utenti.
Malware a Tema Cripto e Siti Web Truffa
Oltre alle estensioni del browser, GreedyBear ha distribuito quasi 500 campioni di malware a tema cripto, inclusi ladri di credenziali come LummaStealer e varianti di ransomware come Luca Stealer. Questi vengono spesso distribuiti tramite siti web russi che offrono software pirata. A complemento di questi sforzi c'è una rete di sofisticati siti web truffa che impersonano prodotti e servizi legittimi legati alle criptovalute, come wallet digitali o dispositivi hardware. Questi siti fanno parte di un'infrastruttura centralizzata, con un singolo indirizzo IP che spesso funge da hub di comando e controllo per varie attività illeciti.
La Nuova Normalità nel Cybercrimine Cripto
Gli esperti avvertono che i metodi di GreedyBear, incluso l'uso di codice generato dall'IA per una rapida scalabilità e diversificazione, rappresentano una significativa evoluzione nel cybercrimine incentrato sulle criptovalute. Questo approccio sfrutta la fiducia degli utenti e aggira le misure di sicurezza tradizionali incorporando la logica dannosa direttamente nelle interfacce dei wallet. La campagna sottolinea l'urgente necessità di protocolli di sicurezza migliorati, controlli più rigorosi da parte dei fornitori di piattaforme e una maggiore vigilanza degli utenti nell'ecosistema degli asset digitali.