Νέα απάτη phishing μέσω Google Docs – Πώς λειτουργούσε η παγίδα των χάκερ
- Εκστρατεία phishing στόχευσε συμμετέχοντες στα συνέδρια κυβερνοασφάλειας Black Hat και Def Con στο Λας Βέγκας, χρησιμοποιώντας πλαστό λογαριασμό στελέχους του CoinDesk και πρόσκληση σε ανύπαρκτο συνέδριο κρυπτονομισμάτων.
- Οι δράστες αξιοποίησαν φαινομενικά αξιόπιστους συνδέσμους από Google Docs και Dropbox DocSend, επιχειρώντας να πείσουν τα θύματα να κατεβάσουν και να εκτελέσουν κακόβουλο λογισμικό.
- Η επίθεση μπορούσε να εγκαταστήσει λογισμικό υποκλοπής δεδομένων σε υπολογιστές Apple, εργαλείο απομακρυσμένης πρόσβασης σε Windows και πλαστό installer του crypto wallet Ledger. Μέχρι στιγμής δεν έχουν αναφερθεί δημόσια θύματα.
Μία εκστρατεία phishing που στόχευσε συμμετέχοντες σε δύο μεγάλα συνέδρια κυβερνοασφάλειας στο Λας Βέγκας, νωρίτερα αυτόν τον μήνα, χρησιμοποίησε μία πρόσκληση για ανύπαρκτη εκδήλωση κρυπτονομισμάτων και έναν φαινομενικά αθώο σύνδεσμο στο Google Docs, με στόχο να εξαπατήσει τα υποψήφια θύματα και να τα οδηγήσει στη λήψη κακόβουλου λογισμικού.
Η απάτη αποκαλύφθηκε από την πλατφόρμα κυβερνοασφάλειας Huntress, όταν ένας από τους ερευνητές της δέχθηκε διαδικτυακό μήνυμα από άτομο που παρίστανε τον αντιπρόεδρο και επικεφαλής μάρκετινγκ της CoinDesk, της νόμιμης εταιρείας ψηφιακών μέσων που καλύπτει τον κλάδο των κρυπτονομισμάτων και του blockchain.
Χρησιμοποιώντας πλαστό λογαριασμό στην πλατφόρμα X, ο δράστης έστειλε τυποποιημένα προσωπικά μηνύματα σε άτομα που είχαν παρακολουθήσει τα πρόσφατα συνέδρια χάκερ Black Hat και Def Con στο Λας Βέγκας.
«Γεια, σκοπεύετε να παρακολουθήσετε τα επόμενα συνέδρια;» έγραψε ο δράστης, με αρκετά γραμματικά λάθη, στα μηνύματα που δημοσιοποίησε η Huntress. «Θα ήθελα να σας προσκαλέσω και θα χαρώ να συνδεθούμε. Δεν μπορώ να βρω το email σας».
Στη συνέχεια, ρώτησε τους στόχους του εάν θα ενδιαφέρονταν να εγγραφούν σε ένα επερχόμενο διαδικτυακό συνέδριο σχετικά με τα κρυπτονομίσματα, το οποίο στην πραγματικότητα δεν υπήρχε.
«Ο ερευνητής αναγνώρισε ότι το δόλωμα αποτελούσε απάτη και δεν έπεσε στην παγίδα», ανέφερε η Huntress στην έκθεσή της, η οποία δημοσιεύθηκε στις 19 Αυγούστου. Ο εργαζόμενος συνέχισε να συνομιλεί με τον δράστη, προκειμένου να κατανοήσει καλύτερα τις τακτικές που χρησιμοποιούσε.
Στο πλαίσιο της επίθεσης, ο δράστης μοιράστηκε μία σελίδα στο Google Docs με υποτιθέμενες “περισσότερες πληροφορίες” για το ανύπαρκτο συνέδριο.
Το έγγραφο ζητούσε από τους χρήστες Windows και macOS να εισαγάγουν ένα κλειδί κρυπτογράφησης που τους είχε δοθεί από τον δράστη. Η διαδικασία φαινόταν να αποτυγχάνει και μία πλαϊνή μπάρα παρουσίαζε δύο εναλλακτικές επιλογές, οι οποίες, σύμφωνα με τη Huntress, είχαν σχεδιαστεί για να κατεβάσουν και να εκτελέσουν κακόβουλο κώδικα.
Όταν ο ερευνητής δεν εκτέλεσε το malware, ο δράστης επανήλθε την επόμενη ημέρα με διαφορετικό έγγραφο, το οποίο εμφανιζόταν ως αρχείο κοινοποιημένο μέσω του Dropbox DocSend, καθώς και με ένα πλαστό πρόγραμμα εγκατάστασης του DocSend.
«Το πάτημα του τελευταίου κουμπιού προκαλούσε καθυστέρηση οκτώ έως 11 δευτερολέπτων, σχεδιασμένη ώστε να δημιουργεί την εντύπωση ότι μία εφαρμογή ξεκινούσε, ενώ στο παρασκήνιο λειτουργούσε ο κακόβουλος loader», ανέφερε το Redmond Magazine, το οποίο αυτοχαρακτηρίζεται ως «η ανεξάρτητη φωνή της κοινότητας επαγγελματιών Microsoft IT».
Εάν η επίθεση πετύχαινε, θα εγκαθιστούσε λογισμικό υποκλοπής πληροφοριών σε υπολογιστές Apple, ένα εργαλείο απομακρυσμένης πρόσβασης που είχε μετατραπεί σε malware για συστήματα Windows και ένα πλαστό πρόγραμμα εγκατάστασης για το ψηφιακό πορτοφόλι κρυπτονομισμάτων Ledger.
«Συνολικά, τα δύο δολώματα δείχνουν πώς ο δράστης χρησιμοποίησε γνώριμες πλατφόρμες για να δημιουργήσει αξιοπιστία και να διατηρήσει το ενδιαφέρον του στόχου», ανέφερε η Huntress.
«Συνδυάζοντας προσωπικά μηνύματα στα social media με αξιόπιστες υπηρεσίες εγγράφων και διαμοιρασμού αρχείων, δημιούργησε μία φαινομενικά νόμιμη διαδικασία, σχεδιασμένη για να πείσει τους στόχους να εκτελέσουν το malware».
Μέχρι στιγμής, δεν έχουν αναφερθεί δημόσια θύματα της συγκεκριμένης εκστρατείας.
Η CoinDesk δεν έχει εκδώσει επίσημη ανακοίνωση σχετικά με τον δράστη που ισχυριζόταν ψευδώς ότι ήταν στέλεχος της εταιρείας. Μεμονωμένοι εργαζόμενοί της, ωστόσο, επιβεβαίωσαν την ύπαρξη της απάτης στα μέσα κοινωνικής δικτύωσης και προειδοποίησαν πιθανούς στόχους.
Ο πλαστός λογαριασμός του δράστη στην πλατφόρμα X έχει πλέον διαγραφεί.
