Los ataques de ingeniería social que aprovechan una combinación de señuelos románticos y fraudes con criptomonedas han atraído a víctimas desprevenidas para que instalen aplicaciones falsas aprovechando funciones legítimas de iOS como TestFlight y Web Clips.
La empresa de ciberseguridad Sophos, que ha denominado a la campaña contra el crimen organizado «criptorom«, lo caracterizó como una estafa global de gran alcance.
«Este estilo de fraude cibernético, conocido como sha zhu pan (杀猪盘), literalmente ‘plato de masacre de cerdo’, es una operación de estafa bien organizada y sindicada que utiliza una combinación de ingeniería social a menudo centrada en el romance y aplicaciones financieras fraudulentas. y sitios web para atrapar a las víctimas y robar sus ahorros después de ganarse su confianza», dijo Jagadeesh Chandraiah, analista de Sophos. dijo en un informe publicado la semana pasada.
La campaña funciona acercándose a objetivos potenciales a través de aplicaciones de citas como Bumble, Tinder, Facebook Dating y Grindr, antes de pasar la conversación a aplicaciones de mensajería como WhatsApp e instando a las víctimas a instalar una aplicación de comercio de criptomonedas diseñada para imitar marcas populares y bloquear a las personas. de sus cuentas y congelar sus fondos.
Variantes anteriores de la estafa de ingeniería social observado en octubre de 2021 se descubrió que aprovechaban las páginas similares de la App Store para engañar a las personas para que instalaran las aplicaciones iOS no autorizadas, sin mencionar el abuso de Apple Programa empresarial para desarrolladores desplegar incompleto perfiles de aprovisionamiento móvil para distribuir el malware.
Pero la nueva ola de ataques observada por Sophos se aprovecha de Apple Vuelo de prueba marco de prueba beta y una función de administración de dispositivos llamada Clips webQue permite URL a páginas web específicas para colocarse en la pantalla de inicio de los dispositivos iOS de los usuarios como una aplicación tradicional.
Una vez instalados, los ladrones prometen a las personas grandes ganancias financieras a cambio de hacer una inversión monetaria, mientras manipulan artificialmente los números en la aplicación falsa para «reforzar la estafa» y convencer a las víctimas de que crean que «están ganando dinero» a través de la plataforma. .
«La estafa no termina simplemente engañando a las víctimas para que inviertan», explicó Chandraiah. «Cuando las víctimas intentan retirar fondos de sus grandes ‘ganancias’, los delincuentes usan la aplicación para informarles que deben pagar un ‘impuesto’ del 20 % de sus ganancias antes de poder retirar los fondos, y amenazan con que todas sus inversiones ser confiscados por las autoridades fiscales si no pagan».