Cyberprzestępcy po raz kolejny wykorzystują dynamicznie rosnący rynek kryptowalut, którego wartość szacuje się już na niemal 4 miliardy dolarów. Tym razem nowa kampania złośliwego oprogramowania, wykorzystująca fałszywe reklamy zachęcające do pobrania zmodyfikowanych aplikacji kryptowalutowych, uderzyła głównie w europejskich inwestorów – ostrzegają stojący za odkryciem specjaliści cyberbezpieczeństwa z Check Point Research.
Kampania JSCEAL trwa najprawdopodobniej od marca 2024 roku i stanowi doskonały przykład tego, jak cyberprzestępcy wykorzystują stale rosnącą popularność kryptowalut, by wyłudzać dane i pieniądze.
Tylko w pierwszej połowie bieżącego roku cyberprzestępcy przeprowadzili ponad 35 tys. fałszywych kampanii reklamowych, które dotarły do co najmniej 3,5 miliona użytkowników! Zdaniem ekspertów Check Pointa, szczególnie niepokojąca jest modularna, wielowarstwowa struktura tej kampanii, która umożliwia dynamiczną zmianę taktyk i ładunków złośliwego systemu na każdym etapie infekcji.
Jak wygląda schemat działań?
Wszystko zaczyna się od fałszywych reklam w mediach społecznościowych. Po kliknięciu użytkownik trafia na profesjonalnie wyglądającą stronę, która zachęca go do pobrania rzekomej aplikacji inwestycyjnej. W rzeczywistości jest to instalator zawierający złośliwe oprogramowanie.
Według analityków Check Point Research JSCEAL działa w trzech etapach:
-
Instalacja – użytkownik pobiera fałszywy plik (tzw. instalator MSI).
-
Profilowanie systemu – złośliwy kod zbiera informacje o komputerze, zainstalowanych programach i ustawieniach.
-
Atak adekwatny – uruchamiane jest złośliwe oprogramowanie, które kradnie dane do portfeli kryptowalutowych oraz loginy i hasła.
Kampania wykorzystuje skomplikowaną strukturę i nowoczesne technologie, takie jak tzw. compiled JavaScript (JSC), czyli specjalnie skompilowane pliki JavaScript, które są trudne do wykrycia przez standardowe programy antywirusowe. Złośliwy kod uruchamiany jest z pomocą platformy Node.js, co dodatkowo utrudnia jego identyfikację.
Szczególnie narażeni są użytkownicy aplikacji do handlu kryptowalutami, zwłaszcza ci instalujący nowe programy za pośrednictwem reklam lub spoza oficjalnych sklepów (np. Google Play czy App Store).
Jak się chronić?
Check Point zaleca korzystanie z profesjonalnych rozwiązań bezpieczeństwa, które potrafią wykryć i zablokować ataki podobne do JSCEAL. Istotne są również działania prewencyjne takie jak unikanie klikania w podejrzane reklamy, instalowanie aplikacji wyłącznie z oficjalnych źródeł, bieżące aktualizacje systemów, czy wykorzystywanie dwuskładnikowego uwierzytelniania w aplikacjach do kryptowalut.
