مهاجم با استفاده از چت تلگرام، وجوه ارزی ثروتمند را هدف قرار می دهد

مشروح:

تیم اطلاعات امنیتی مایکروسافت در گزارشی در روز چهارشنبه گفت: در جدیدترین نوع حملات مبتنی بر رمزنگاری، مهاجمی به نام DEV-0139 با استفاده از چت‌های گروهی تلگرام، سرمایه‌های ارزهای دیجیتال ثروتمند را هدف قرار داده است.

کارمزدهای اخذ شده توسط صرافی های رمزنگاری برای تراکنش ها چالش بزرگی برای صندوق های سرمایه گذاری و معامله گران ثروتمند است. آنها هزینه را نشان می دهند و باید برای به حداقل رساندن تأثیر بر حاشیه و سود بهینه شوند. مانند بسیاری از شرکت‌های دیگر در این صنعت، بیشترین هزینه‌ها از کارمزدهایی است که توسط صرافی‌ها دریافت می‌شود.

مهاجم یا گروهی از مهاجمان از این مشکل خاص استفاده کردند تا اهداف صندوق رمزنگاری خود را جذب کنند.

DEV-0139 به چندین گروه تلگرامی ملحق شد که توسط مشتریان و صرافی‌های برجسته برای ارتباط استفاده می‌شد و هدف خود را از میان اعضای گروه شناسایی کرد. داده‌های گزارش مایکروسافت نشان می‌دهد که صرافی‌های OKX، Huobi و Binance هدف قرار گرفتند.

DEV-0139 که خود را به عنوان یک کارمند صرافی معرفی کرد، هدف را به یک گروه چت دیگر دعوت کرد و وانمود کرد که در مورد ساختارهای هزینه استفاده شده توسط صرافی ها بازخورد می خواهد. آنها سپس گفتگو را برای جلب اعتماد هدف آغاز کردند - با استفاده از دانش خود از صنعت و آمادگی برای جذب تدریجی قربانیان.

DEV-0139 سپس یک فایل اکسل مسلح شده حاوی داده های دقیق در مورد ساختار کارمزد در بین شرکت های مبادله ارزهای دیجیتال با هدف افزایش اعتبار آنها ارسال کرد.

فایل اکسل مجموعه‌ای از فعالیت‌ها را آغاز کرد، از جمله استفاده از یک برنامه مخرب برای بازیابی داده‌ها و رها کردن یک برگه اکسل دیگر. سپس این برگه در حالت نامرئی اجرا شد و برای دانلود یک فایل تصویری حاوی سه فایل اجرایی استفاده شد: یک فایل Windows قانونی، یک نسخه مخرب یک فایل DLL، و یک درب پشتی با کد XOR.

DLL کتابخانه ای است که حاوی کد و داده هایی است که می تواند توسط بیش از یک برنامه به طور همزمان استفاده شود. از طرف دیگر، XOR یک روش رمزگذاری است که برای رمزگذاری داده ها استفاده می شود و به سختی با روش brute-force شکسته می شود

سپس عامل تهدید توانست از راه دور با استفاده از درب پشتی به سیستم آلوده دسترسی پیدا کند.

مایکروسافت گفت که DEV-0139 ممکن است کمپین های دیگری را نیز با استفاده از تکنیک های مشابه اجرا کرده باشد.