Un acteur menaçant qui porte un pseudonyme Markopolo a été identifié comme étant à l’origine d’une escroquerie multiplateforme à grande échelle qui cible les utilisateurs de monnaie numérique sur les réseaux sociaux avec des logiciels malveillants voleurs d’informations et effectue un vol de crypto-monnaie.
Les chaînes d’attaque impliquent l’utilisation d’un prétendu logiciel de réunion virtuelle nommé Vortax (et 23 autres applications) qui est utilisé comme canal pour fournir Rhadamanthys, StealC et Atomic macOS Stealer (AMOS), a déclaré le groupe Insikt de Recorded Future dans une analyse publiée ce semaine.
“Cette campagne, ciblant principalement les utilisateurs de cryptomonnaies, marque une augmentation significative des menaces de sécurité sur macOS et révèle un vaste réseau d’applications malveillantes”, a déclaré la société de cybersécurité. notédécrivant Markopolo comme « agile, adaptable et polyvalent ».
Il existe des preuves reliant la campagne Vortax à des activités antérieures qui ont exploité techniques de piège à phishing pour cibler les utilisateurs macOS et Windows via des leurres de jeu Web3.
Un aspect crucial de l’opération malveillante est sa tentative de légitimer Vortax sur les réseaux sociaux et Internet, les acteurs gérant un blog Medium dédié rempli d’articles suspectés générés par l’IA ainsi qu’un compte vérifié sur X (anciennement Twitter) portant un coche dorée.
Le téléchargement de l’application piégée nécessite que les victimes fournissent un RoomID, un identifiant unique à une invitation à une réunion qui se propage via les réponses au compte Vortax, les messages directs et les canaux Discord et Telegram liés à la crypto-monnaie.
Une fois qu’un utilisateur saisit l’ID de salle nécessaire sur le site Web de Vortax, il est redirigé vers un lien Dropbox ou un site Web externe qui met en place un programme d’installation pour le logiciel, ce qui conduit finalement au déploiement du malware voleur.
“L’acteur malveillant qui gère cette campagne, identifié comme Markopolo, exploite l’hébergement partagé et l’infrastructure C2 pour toutes les versions”, a déclaré Recorded Future.
“Cela suggère que l’acteur malveillant s’appuie sur la commodité pour mener une campagne agile, abandonnant rapidement les escroqueries une fois qu’elles sont détectées ou produisant des rendements décroissants, et se tournant vers de nouveaux leurres.”
Les résultats montrent que la menace omniprésente des logiciels malveillants infostealer ne peut être négligée, en particulier à la lumière de la récente campagne ciblant Snowflake.
Ce développement intervient alors qu’Enea a révélé que les fraudeurs par SMS abusaient des services de stockage cloud tels qu’Amazon S3, Google Cloud Storage, Backblaze B2 et IBM Cloud Object Storage pour inciter les utilisateurs à cliquer sur de faux liens redirigeant vers des pages de destination de phishing qui siphonnent les données des clients.
“Les cybercriminels ont désormais trouvé un moyen d’exploiter la fonctionnalité offerte par le stockage dans le cloud pour héberger des sites Web statiques (généralement des fichiers .HTML) contenant des URL de spam intégrées dans leur code source”, a déclaré le chercheur en sécurité Manoj Kumar. dit.
“L’URL renvoyant vers le stockage cloud est distribuée via des messages texte qui semblent authentiques et peuvent donc contourner les restrictions du pare-feu. Lorsque les utilisateurs mobiles cliquent sur ces liens, qui contiennent des domaines de plate-forme cloud bien connus, ils sont dirigés vers le site Web statique. stocké dans le seau de stockage.
Dans la dernière étape, le site Web redirige automatiquement les utilisateurs vers les URL de spam intégrées ou les URL générées dynamiquement à l’aide de JavaScript et les incite à se séparer des informations personnelles et financières.
“Étant donné que le domaine principal de l’URL contient, par exemple, l’URL/le domaine authentique de Google Cloud Storage, il est difficile de le détecter via une analyse d’URL normale”, a déclaré Kumar. “La détection et le blocage des URL de cette nature représentent un défi permanent en raison de leur association avec des domaines légitimes appartenant à des sociétés réputées ou de premier plan.”