Кампания массовой рассылки трояна Эфимер нацелена на криптокошельки, затронув тысячи

Сложная вредоносная кампания, получившая название «Троян Efimer», активно нацелена на пользователей криптовалют по всему миру, при этом значительная часть жертв находится в Бразилии. Этот вредоносный скрипт, распространяемый через массовые рассылки по электронной почте и скомпрометированные веб-сайты, предназначен для кражи цифровых активов путем скрытой замены адресов криптовалютных кошельков в буфере обмена пользователей.

Основные выводы

• Троян Efimer — это сложная угроза, которая крадет криптовалюту, подменяя адреса кошельков.

• Он распространяется через фишинговые электронные письма, скомпрометированные веб-сайты и вредоносные торренты.

• Вредоносное ПО использует сеть TOR для связи с C2-сервером.

• Он обладает расширенными возможностями, такими как функции защиты от виртуальных машин и компрометация сайтов WordPress.

• Пострадало более 5000 пользователей, при этом Бразилия является основной целью.

Обманные методы распространения трояна Efimer

Троян Efimer использует многовекторный подход для заражения своих жертв. Впервые обнаруженный в октябре 2024 года, его методы распространения эволюционировали. Ранние версии распространялись через скомпрометированные веб-сайты WordPress. Совсем недавно, в июне 2025 года, появилась массовая рассылка, имитирующая юристов крупной компании. Эти электронные письма ложно заявляют о нарушении доменного имени, угрожая судебным иском, если получатель не изменит свой домен или не согласится на выкуп. Письма содержат ZIP-архивы с файлами, защищенными паролем, что приводит к выполнению вредоносного файла сценария Windows (WSF), который устанавливает троян Efimer.

Пример объявления на странице https://lovetahq[.]com/sinners-2025-torent-file/

Пример письма о нарушениях

Как Efimer крадет криптовалюту

После установки троян Efimer действует как вредоносное ПО типа «клиппер». Его основная функция — отслеживать буфер обмена пользователя на предмет адресов криптовалютных кошельков. Когда пользователь копирует легитимный адрес, Efimer незаметно заменяет его адресом, контролируемым злоумышленниками. Это означает, что любые средства, отправленные на подмененный адрес, будут безвозвратно потеряны для жертвы. Вредоносное ПО связывается со своим сервером управления (C2) через сеть TOR, что затрудняет отслеживание его операций. Оно также может собирать адреса электронной почты и компрометировать сайты WordPress для дальнейшего распространения.

Расширенные возможности и распространение

Помимо своей основной функции клиппера, Efimer продемонстрировал расширенные возможности. Вторая версия вредоносного ПО включает функции защиты от виртуальных машин и активно сканирует веб-браузеры на наличие расширений криптовалютных кошельков, передавая эту информацию на свой C2-сервер. Кроме того, были замечены дополнительные скрипты, связанные с Efimer, которые осуществляют брутфорс паролей сайтов WordPress и собирают адреса электронной почты для будущих кампаний, создавая самоподдерживающуюся вредоносную инфраструктуру.

Глобальное влияние и основные выводы

Телеметрия «Лаборатории Касперского» показывает, что кампания трояна Efimer затронула более 5000 пользователей по всему миру, при этом Бразилия, Индия, Испания, Россия, Италия и Германия входят в число наиболее пострадавших стран. Способность вредоносного ПО распространяться через различные векторы, включая торрент-файлы, замаскированные под популярные фильмы, и фишинговые электронные письма, нацеленные как на частных лиц, так и на корпорации, делает его серьезной угрозой.

Источники

• Инструменты ИИ подпитывают бразильскую фишинговую аферу, пока троян Efimer крадет криптовалюту у 5000 жертв, The Hacker News.

• Троян Efimer распространяется по электронной почте и через взломанные веб-сайты WordPress, Securelist.

Эта статья была создана с поддержкой технологий, основанных на искусственном интеллекте, с использованием множества авторитетных источников. Финальный контент был тщательно проверен и отредактирован редакционной командой BlockzHub для обеспечения точности, ясности и согласованности. Оригинальные источники информации указаны, когда это необходимо и уместно. Мнения, выраженные в этой статье, не обязательно отражают официальные взгляды или позиции BlockzHub. Эта статья предназначена исключительно для информационных целей и не должна восприниматься как финансовый или профессиональный совет. Инвестирование связано с рисками, и перед принятием инвестиционных решений следует проконсультироваться с квалифицированным финансовым консультантом.