攻撃者は電報チャットを使用して裕福な暗号資産を標的にします

仮想通貨に焦点を当てた最新の攻撃では、DEV-0139 として知られる攻撃者が、Telegram グループ チャットを使用して裕福な仮想通貨ファンドを標的にしていると、Microsoft のセキュリティ インテリジェンス チームが発表しました。報告 水曜日に。

仮想通貨取引所がトランザクションに課す手数料は、投資ファンドや裕福なトレーダーにとって大きな課題です。これらはコストを表し、マージンと利益への影響を最小限に抑えるために最適化する必要があります。この業界の他の多くの企業と同様に、最大のコストは取引所が請求する手数料です。

攻撃者または攻撃者のグループは、この特定の問題を利用して、暗号資産のターゲットをおびき寄せました。

DEV-0139 は、知名度の高いクライアントや取引所が通信に使用するいくつかのテレグラム グループに参加し、グループ メンバーの中からターゲットを特定しました。マイクロソフトのレポートによると、OKX、Huobi、Binance の取引所が標的にされました。

DEV-0139 は、取引所の従業員を装い、ターゲットを別のチャット グループに招待し、取引所が使用する料金体系についてフィードバックを求めるふりをしました。その後、彼らはターゲットの信頼を得るために会話を開始しました。業界に関する知識と被害者を徐々に誘惑する準備を整えていました。

次に、DEV-0139 は、信頼性を高めることを目的として、仮想通貨交換会社間の手数料構造に関する正確なデータを含む兵器化された Excel ファイルを送信しました。

Excel ファイルは、悪意のあるプログラムを使用してデータを取得し、別の Excel シートをドロップするなど、一連の活動を開始しました。次に、このシートは非表示モードで実行され、正規の Windows ファイル、悪意のあるバージョンの DLL ファイル、および XOR でエンコードされたバックドアの 3 つの実行可能ファイルを含む画像ファイルをダウンロードするために使用されました。

DLL は、同時に複数のプログラムで使用できるコードとデータを含むライブラリです。一方、XORはデータを暗号化するための暗号方式であり、総当りでは解読されにくい。

その後、攻撃者はバックドアを使用して、感染したシステムにリモート アクセスすることができました。

Microsoft は、DEV-0139 が同様の手法を使用して他のキャンペーンを実行した可能性があると述べています。