Біткоїнери отримують нове попередження щодо активної кампанії соціальної інженерії, яка викрадає довірені акаунти Telegram та заманює криптовалютних професіоналів у фальшиві зустрічі Zoom або Microsoft Teams.
Lightning News забила на сполох 7 серпня, посилаючись на нещодавні повідомлення членів біткоїн-спільноти. Незалежне дослідження безпеки підтверджує основний ланцюжок атаки, хоча не всі заяви були верифіковані.
JUMPSEC повідомила в липні, що отримала вихідний код активного фішингового набору BlueNoroff після виявлення джерельних карт JavaScript. Дослідники знайшли платформу для залучення жертв, яка зловживає скомпрометованими контактами Telegram, профілює криптовалютні гаманці та доставляє шкідливе ПЗ обраним цілям на системах Windows та macOS. JUMPSEC заявила, що виявлена інфраструктура кампанії залишалася активною станом на 22 липня.
Атака починається з довіри, а не з вразливості блокчейну. JUMPSEC виявила, що оператори використовують скомпрометовані акаунти Telegram, що належать реальним контактам з галузі, щоб запрошувати цілі на фальшиві відеозустрічі. Оскільки повідомлення надходять з автентичних акаунтів і можуть посилатися на існуючі відносини, саме лише розпізнавання відправника забезпечує обмежений захист.
Google Mandiant незалежно задокументував подібне вторгнення UNC1069 у лютому. Жертва отримала повідомлення зі скомпрометованого акаунта Telegram криптокерівника, запланувала зустріч і була перенаправлена на підроблений домен Zoom. Жертва повідомила, що під час сфальсифікованого дзвінка бачила те, що виглядало як відео іншого криптокерівника, згенероване ШІ.
Атрибуція потребує точності. Mandiant відстежує цього актора як UNC1069 і зазначає, що він перетинається з BlueNoroff. Міністерство фінансів США офіційно визнало BlueNoroff, також відомого як APT38, північнокорейською державною групою, контрольованою Головним розвідувальним бюро. Security Alliance так само приписує кампанію фальшивих зустрічей UNC1069, або BlueNoroff.
Реконструйований набір JUMPSEC показує інтерфейс сфальсифікованої зустрічі, що запитує доступ до веб-камери, перш ніж оператор приєднується з попередньо записаним відео. Потім жертва бачить імовірну проблему зі звуком та фальшиве оновлення програмного забезпечення. Відображений текст для усунення несправностей оманливий: його копіювання розміщує контрольовану зловмисником команду ClickFix у буфер обміну.
На Windows JUMPSEC спостерігала компоненти PowerShell та VBScript, здатні відключати захист, проводити розвідку та підтримувати подальший доступ. На macOS дослідники виявили оболонкові скрипти та корисні навантаження Mach-O, призначені для крадіжки облікових даних та інших конфіденційних даних. Набір також сканує постачальників браузерних гаманців перед доставкою шкідливого ПЗ, допомагаючи операторам ідентифікувати цінні цілі.
Це означає, що твердження про те, що просте відкриття посилання на зустріч автоматично спустошує гаманець, є надто широким. У задокументованих ланцюжках компрометація вимагає іншої дії, такої як виконання скопійованої команди або шкідливого оновлення. Однак після виконання шкідливого ПЗ Mandiant виявила інструменти, здатні викрадати дані браузера, облікові дані Keychain та дані користувачів Telegram.
Як повідомлялося раніше, Мартін Кухар заявив, що його акаунт Telegram був скомпрометований та використаний у подібній атаці. Попередні матеріали про жертви також документували випадки, коли до криптокерівників зверталися через довірені контакти, перш ніж фальшиві запрошення на зустрічі намагалися встановити шкідливе ПЗ.
Security Alliance повідомила, що приписала 164 заблоковані домени UNC1069 у період з 6 лютого по 7 квітня. Її попередження описувало багатотижневу соціальну інженерію через Telegram, LinkedIn та Slack, перш ніж були доставлені шахрайські посилання Zoom або Teams. JUMPSEC пізніше розширила картину інфраструктури та заявила, що інфраструктура з високим та середнім рівнем довіри залишалася активною наприкінці липня.
ФБР окремо попередило, що північнокорейські актори проводять ретельно адаптовану соціальну інженерію проти співробітників криптовалютних та DeFi компаній. Їхні рекомендації спеціально відзначають запити на виконання коду, встановлення незнайомих програм, запуск скриптів для виправлення відеодзвінків або перенесення розмов між комунікаційними платформами.
ФБР рекомендує перевіряти особистості через незалежний канал та тримати облікові дані гаманця, початкові фрази та приватні ключі подалі від пристроїв, підключених до Інтернету. Двофакторна автентифікація залишається корисною, але скомпрометовані пристрої можуть викривати дані сесії, тому скомпрометовані сесії також слід відкликати з чистого пристрою.
Найважливіша корекція до попередження від 7 серпня полягає в тому, що дослідники не встановили єдиного універсального методу для початкового захоплення Telegram-акаунта. Твердження про те, що основною причиною є прострочені або тимчасові телефонні номери, залишаються непідтвердженими в розглянутих матеріалах. Дослідники підтверджують скомпрометовані акаунти, але механізм захоплення може відрізнятися.
В окремому матеріалі про платформу Telegram, Apple ненадовго видалила месенджер зі свого App Store через перевірку політики CSAM, перш ніж відновити його після того, як Telegram видалив позначений контент і забанив відповідального користувача.
Користувачам слід ставитися до несподіваних запитів на зустрічі, змін доменів, підказок щодо виправлення звуку та запитів на вставлення команд як до сигналів високого ризику. Якщо підозрілий код вже був запущений, ФБР радить відключити постраждалий пристрій від Інтернету, залишивши його увімкненим для можливого судово-медичного відновлення, а потім зв'язатися зі спеціалістами з реагування на інциденти та правоохоронними органами.
Тому кампанію найкраще описати як тривалу, пов'язану з Північною Кореєю операцію соціальної інженерії, що націлена на людський фактор навколо зберігання криптоактивів. Її ефективність походить від експлуатації довірених осіб та звичних робочих інструментів, а не від зламування самого Біткоїна.
BTC
