Криптовалютные угрозы продолжают наращивать сложность — за минувшие семь дней эксперты по безопасности зафиксировали сразу несколько нашумевших атак на владельцев цифровых активов и инфраструктуру.
Криптоклиппер с фейковой репутацией на GitHub и YouTube
Специалисты Check Point Research раскрыли масштабную кампанию по внедрению криптоклипперов через поддельные инструменты для торговли в экосистемах Solana и Pump.fun. Зловред написан на языке Rust и работает на Windows и macOS, постоянно отслеживая буфер обмена устройства.
При копировании жертвой адреса криптокошелька программа моментально заменяет его реквизитами, принадлежащими злоумышленнику. Чтобы завоевать доверие у аудитории — трейдеров и геймеров, — хакер выстроил сеть фальшивых «звезд» и положительных отзывов на VirusTotal, а также управлял сетками аккаунтов на GitHub и SourceForge. Счётчик загрузок на последней площадке был искусственно раздут до 44 000 при помощи фермы Android-устройств.
Дополнительно злоумышленник эксплуатировал YouTube-канал с более чем 91 000 подписчиков, создавая ролики с использованием ИИ-генераторов голоса и накрученными комментариями. Для придания легитимности инструменту задействовались сервисы рассылки пресс-релизов, чьи публикации автоматически подхватывались партнёрскими новостными сайтами.
USB-червь, маскирующийся под ярлыки Windows
Исследователи Microsoft описали самораспространяющийся червь, нацеленный на кражу криптовалют. Заражение стартует, когда пользователь открывает изменённый файл .LNK на USB-носителе, после чего вредонос скрыто загружает дополнительные модули с сервера в зоне .onion.
Программа сканирует систему на присутствие документов, скрывает оригиналы и заменяет их вредоносными ярлыками с идентичными названиями, активируясь при каждой попытке открыть файл. Для самораспространения червь создаёт задачу, отслеживающую порты, и при подключении нового USB-диска мгновенно копирует себя на него. Активная фаза включается только при отсутствии «Диспетчера задач»: каждые полсекунды вредонос анализирует буфер обмена на предмет 12- и 24-словных сид-фраз BIP39, адресов Bitcoin (включая Legacy, P2SH, Bech32 и Taproot), Ethereum, Tron и Monero.
При обнаружении подходящего адреса происходит мгновенная подмена