.jpeg)
Изощренная киберпреступная группа, известная как «GreedyBear», значительно расширила свои операции по краже криптовалюты, достигнув «промышленного масштаба» незаконных доходов. Используя многогранную стратегию, включающую вредоносные расширения для браузеров, вредоносное ПО на криптовалютную тематику и обманные веб-сайты, группа успешно похитила более 1 миллиона долларов в цифровых активах. Эта тревожная тенденция подчеркивает новую, более агрессивную фазу киберпреступности, ориентированной на криптовалюты.
Многовекторная стратегия атак GreedyBear
GreedyBear отличилась тем, что не специализируется на одном векторе атаки, а мастерски комбинирует несколько методов. Этот интегрированный подход, который включает вредоносные расширения для браузеров, программы-вымогатели и фишинговые тактики, оказался «впечатляюще» эффективным, по данным компании по кибербезопасности Koi Security.
Основные выводы:
-
Группа похитила более 1 миллиона долларов, используя более 650 вредоносных инструментов.
-
GreedyBear нацелена на пользователей криптокошельков с помощью комбинации расширений для браузеров, вредоносного ПО и мошеннических веб-сайтов.
-
Техника «Extension Hollowing» используется для обхода проверок безопасности торговых площадок.
-
Код, сгенерированный ИИ, используется для быстрого масштабирования и диверсификации атак.
Вредоносные расширения для браузеров
Значительная часть операций GreedyBear включает проникновение на торговые площадки браузеров, особенно Firefox, с помощью более 150 поддельных расширений. Эти расширения разработаны для имитации популярных криптокошельков, таких как MetaMask, TronLink, Exodus и Rabby Wallet. Группа использует технику, называемую «Extension Hollowing», при которой изначально легитимное расширение одобряется торговой площадкой, но затем обновляется вредоносным кодом для кражи учетных данных кошелька. Эта тактика позволяет им обходить первоначальные проверки безопасности и использовать доверие пользователей.
Вредоносное ПО на криптовалютную тематику и мошеннические веб-сайты
Помимо расширений для браузеров, GreedyBear развернула почти 500 образцов вредоносного ПО на криптовалютную тематику, включая похитители учетных данных, такие как LummaStealer, и варианты программ-вымогателей, такие как Luca Stealer. Они часто распространяются через российские веб-сайты, предлагающие пиратское программное обеспечение. Эти усилия дополняет сеть изощренных мошеннических веб-сайтов, которые выдают себя за легитимные крипто-связанные продукты и услуги, такие как цифровые кошельки или аппаратные устройства. Эти сайты являются частью централизованной инфраструктуры, где один IP-адрес часто служит центром управления и контроля для различных незаконных действий.
Новая норма в крипто-киберпреступности
Эксперты предупреждают, что методы GreedyBear, включая использование кода, сгенерированного ИИ, для быстрого масштабирования и диверсификации, представляют собой значительную эволюцию в киберпреступности, ориентированной на криптовалюты. Этот подход использует доверие пользователей и обходит традиционные меры безопасности, внедряя вредоносную логику непосредственно в интерфейсы кошельков. Кампания подчеркивает острую необходимость в усилении протоколов безопасности, более строгой проверке со стороны поставщиков платформ и повышении бдительности пользователей в экосистеме цифровых активов.