Хакеры используют поддельные приложения и кошельки для кражи вашей криптовалюты

Исследователи обнаружили, что пользователи и энтузиасты криптовалюты становятся мишенью злоумышленников с поддельными приложениями-кошельками, которые крадут их драгоценные токены.

Исследователи кибербезопасности из Confiant обнаружили, что некоторые из самых популярных в мире криптовалютных кошельков подделываются клонами. , содержащие вредоносное ПО.

Продукты Coinbase, MetaMask, TokenPocket и imToken попали в число пострадавших, при этом злоумышленники создали приложения, которые, казалось бы, идентичны легитимным, но с одним ключевым отличием — они содержат бэкдор, способный красть секретные фразы людей. Защитная фраза или секретный ключ — это строка слов, используемая для восстановления или загрузки существующего кошелька в новое приложение.

Десятки миллионов потенциальных целей

Люди используют его, когда забывают свои пароли, устанавливают приложение на новую конечную точку или иным образом нуждаются в загрузке кошелька на другом устройстве.

Будучи вредоносными, эти приложения нельзя найти в официальных репозиториях приложений, таких как Play Store или App Store. Вместо этого злоумышленники полагаются на распространение приложения через веб-страницы, которые они продвигают с помощью черных методов SEO, отравления SEO, маркетинга в социальных сетях, продвижения на форумах, вредоносной рекламы и т. д.

Исследователи не могли сказать, сколько людей обманом заставили загрузить эти приложения, но одно только приложение Coinbase имеет более 10 миллионов загрузок только на Android.

Что касается жертв, то атакующие, похоже, в основном нацелены на азиатское население. Кампания больше всего повлияла на результаты поиска с помощью механизма Baidu, поскольку они направляли «огромное количество» трафика. на сайты, на которых размещены вредоносные приложения.

Сами нападавшие, похоже, тоже азиаты. Confiant называет их SeaFlower и считает их китайскими из-за тонких намеков, таких как язык комментариев в исходном коде, расположение инфраструктуры, а также используемые фреймворки и сервисы.

Кампания, по-видимому, активна по крайней мере с марта этого года, говорит Confiant, добавляя, что это «самая технически сложная угроза, нацеленная на пользователей web3, сразу после печально известной Lazarus Group».

Через: BleepingComputer< /а>