Эксперты «Лаборатории Касперского» обнаружили мошенническую кампанию, направленную на кражу криптовалюты и личных данных пользователей Windows и MacOS по всему миру.
Она получила название Tusk. Предположительно, за атаками стоят русскоязычные злоумышленники. Для кражи данных используются фишинговые ресурсы, инфостилеры и клипперы.
Фишинговые ресурсы позволяют выманивать конфиденциальные данные пользователей, например приватные ключи для криптокошельков, а также загружать на устройство жертвы вредоносное ПО. В дальнейшем злоумышленники могут получить доступ к криптокошельку через поддельный сайт и вывести с него средства либо украсть учётные данные, реквизиты кошелька и другую информацию посредством вредоносных программ.
Файлы для загрузки вредоносного ПО размещаются в Dropbox. После их загрузки жертва попадает на привлекательный ресурс с удобным интерфейсом, где ей предлагают авторизоваться или просто не закрывать страницу. В это время загружаются другие вредоносные файлы.
Чтобы минимизировать риски, связанные с кампанией Tusk, эксперты «Лаборатории Касперского» рекомендуют:
Она получила название Tusk. Предположительно, за атаками стоят русскоязычные злоумышленники. Для кражи данных используются фишинговые ресурсы, инфостилеры и клипперы.
![«Лаборатория Касперского» обнаружила кампанию по краже криптовалюты и личных данных пользователей по всему миру «Лаборатория Касперского» обнаружила кампанию по краже криптовалюты и личных данных пользователей по всему миру](https://securitymedia.org/upload/iblock/b70/ux1cnx7309yu3uc108wokfuf5qg6ir87.jpg)
Схема атаки
Сначала злоумышленники заманивают жертв на фишинговые сайты, которые имитируют дизайн и интерфейс различных легитимных сервисов. Чтобы привлечь их внимание, они используют популярные темы, такие как web3, криптовалюта, искусственный интеллект, онлайн-игры. Некоторые обнаруженные страницы мимикрируют под криптоплатформу, ролевую онлайн-игру и Al-переводчик.При внимательном изучении на фишинговых ресурсах можно увидеть небольшие отличия от оригинала, например в названии или URL. Однако в целом они выглядят очень правдоподобно, что повышает вероятность успешной атаки.
Фишинговые ресурсы позволяют выманивать конфиденциальные данные пользователей, например приватные ключи для криптокошельков, а также загружать на устройство жертвы вредоносное ПО. В дальнейшем злоумышленники могут получить доступ к криптокошельку через поддельный сайт и вывести с него средства либо украсть учётные данные, реквизиты кошелька и другую информацию посредством вредоносных программ.
Какие зловреды используются для атак
В рамках кампании злоумышленники распространяют инфостилеры, такие как Danabot и Stealc, а также клипперы. Инфостилеры предназначены для кражи конфиденциальных данных (в т.ч. логинов и паролей), а клипперы перехватывают данные из буфера обмена. Например, если пользователь скопирует адрес электронного кошелька в буфер обмена, клиппер может подменить его на вредоносный.Файлы для загрузки вредоносного ПО размещаются в Dropbox. После их загрузки жертва попадает на привлекательный ресурс с удобным интерфейсом, где ей предлагают авторизоваться или просто не закрывать страницу. В это время загружаются другие вредоносные файлы.
Кто может стоять за атаками
Во вредоносном коде содержатся строки на русском языке. Кроме того, в файлах для загрузки вредоносных программ встречается слово «Мамонт», которое русскоязычные злоумышленники используют для обозначения жертвы. Атакующие, по всей видимости, преследуют финансовые цели. Эксперты отразили это в названии кампании — Tusk («Бивень»), по аналогии с мамонтами, за которыми охотились ради ценных бивней.«Наш анализ показал, что речь идёт о тщательно продуманной кампании. На это, в том числе, указывает то, что атаки состоят из нескольких этапов и взаимосвязаны. За ними может стоять как группа, так и отдельный злоумышленник, преследующий финансовые цели. Благодаря Kaspersky Threat Intelligence Portal мы смогли обнаружить подкампании по разным популярным темам, в том числе криптовалюты, искусственного интеллекта и онлайн-игр, а также по 16 другим. Это говорит о том, что злоумышленники могут быстро адаптироваться к актуальной повестке и использовать её для атак на пользователей».
Чтобы минимизировать риски, связанные с кампанией Tusk, эксперты «Лаборатории Касперского» рекомендуют:
- частным пользователям — использовать комплексное защитное решение, такое как Kaspersky Premium. Оно поможет обезопасить устройство от атак инфостилеров и другого вредоносного ПО, а также не даст перейти на фишинговые и другие подозрительные ресурсы;
- организациям — инвестировать в обучение своих сотрудников. Например, для специалистов подойдёт тренинг по реагированию на инциденты в Windows от экспертов GERT, с помощью которого можно научиться реагировать даже на самые сложные типы атак;
- регулярно проверять, нет ли у вас скомпрометированных учётных данных, с помощью специальных сервисов;
- использовать специальные менеджеры паролей, которые хранят информацию в зашифрованном виде.
Для просмотра ссылки необходимо нажать
Вход или Регистрация