Rosyjska grupa hakerska GreedyBear niedawno ukradła ponad 1 milion dolarów w kryptowalucie poprzez podrabianie portfeli MetaMask

PANews poinformował 11 sierpnia, że według Decrypt, firma Koi Security, z siedzibą w Stanach Zjednoczonych i Izraelu, zgłosiła, że rosyjska grupa hakerska GreedyBear wykorzystała 150 "uzbrojonych rozszerzeń Firefox", prawie 500 złośliwych plików wykonywalnych i "dziesiątki" stron phishingowych do kradzieży kryptowalut o wartości ponad 1 miliona dolarów w ciągu ostatnich pięciu tygodni.

Dyrektor techniczny Koi, Idan Dardikman, stwierdził, że ataki na Firefox były "zdecydowanie" ich najbardziej dochodowym wektorem ataku, odpowiadającym za większość z 1 miliona dolarów przychodu. Ta konkretna taktyka polegała na tworzeniu fałszywych wersji szeroko pobieranych portfeli kryptowalutowych, takich jak MetaMask, Exodus, Rabby Wallet i TronLink. Hakerzy wykorzystali technikę Extension Hollowing, aby ominąć środki bezpieczeństwa marketplace'u, początkowo przesyłając nieszkodliwą wersję rozszerzenia, a następnie aktualizując aplikację złośliwym kodem.

Grupa publikuje również fałszywe recenzje rozszerzeń, aby stworzyć fałszywe wrażenie zaufania i niezawodności. Po pobraniu, złośliwe rozszerzenia kradną dane uwierzytelniające portfeli, które są następnie wykorzystywane do kradzieży kryptowalut. Inny główny wektor ataku grupy obejmuje dystrybucję prawie 500 złośliwych plików wykonywalnych dla Windows, które są dodawane do rosyjskich stron internetowych dystrybuujących pirackie lub przepakowane oprogramowanie. Te pliki wykonywalne zawierają narzędzia do kradzieży danych uwierzytelniających, oprogramowanie ransomware i trojany.