암호화폐 구직자 사기, 지갑 털린 지갑

최근 소셜 엔지니어링 캠페인의 표적은 다음과 같습니다.구직자 암호화폐 지갑을 훔치도록 설계된 멀웨어를 설치하는 사기성 'GrassCall' 미팅 앱을 통해 웹3.0 공간에 침투했습니다.

크레이지 이블로 알려진 이 사이버 범죄 그룹은 가짜 취업 기회를 이용해 개인이 Windows 및 Mac 디바이스에서 악성 소프트웨어를 다운로드하도록 유인했습니다.

이 그룹은 가짜 웹3.0 회사인 'ChainSeeker.io'를 만들어 '블록체인 분석가', '소셜 미디어 관리자'와 같은 가짜 구인 광고를 링크드인 및X(이전의 트위터).

수백 명의 피해자가 신고했습니다.지갑 도난 공격 이후

사기의 피해를 입은 것으로 알려진 프리랜서 UX 개발자 크리스티안 기타는 LinkedIn 게시물에서 자신의 경험을 공유하며 언뜻 보기에는 진짜인 것처럼 보였던 기회였다고 표현했습니다.

그는 덧붙였습니다:

화상 회의 도구조차도 거의 믿을 수 없을 정도로 온라인에 존재감을 드러냈습니다."

이후 해당 캠페인은 종료되었고 대부분의 소셜 미디어 광고는 삭제되었습니다,피해를 입은 많은 개인들이 전용 텔레그램 그룹을 통해 악성코드 제거에 대한 지원을 요청하고 있습니다.

사이버 보안 전문가들은 암호화폐 커뮤니티 내에서 이러한 공격이 점점 더 정교해지고 있다고 경고합니다.

크레이지 이블이 암호화폐 구직자를 대상으로 사회공학적 공격을 감행한 방법

사용자를 속여 비밀번호, 인증 쿠키, 암호화폐 지갑 등 민감한 정보를 훔치도록 설계된 악성 소프트웨어를 설치하도록 유도했습니다.

공격의 표적이 된 웹3.0 전문가인 초이와의 대화에서 사이버 범죄자들은 가짜 웹사이트와 소셜 미디어 프로필로 구성된 그럴듯한 온라인 페르소나를 만든 것으로 밝혀졌습니다.X 와 LinkedIn에 'ChainSeeker.io.&' 라는 이름으로 등록되었습니다;

러시아어를 사용하는 이 그룹은 가시성을 높이기 위해 링크드인, 웰파운드, 크립토잡리스트와 같은 플랫폼에서 프리미엄 광고를 구매하여 사기를 더욱 증폭시켰습니다.

크립토잡리스트의 체인시커 채용 프로모션

지원자들은 가짜 회사와 접촉한 후 '최고 인사 책임자'로 추정되는 이메일을 받게 되며, 이 이메일은 텔레그램에서 조작된 '최고 마케팅 책임자'와 연결하도록 안내합니다.

가짜 체인시커 회사의 인터뷰 초대장

그런 다음 이 개인은 GrassCall이라는 가상 회의 소프트웨어를 다운로드하고 코드를 입력하라는 메시지를 표시합니다.

일단 설치되면 GrassCall은 다양한 형태의 정보 도용을 주입했습니다.멀웨어 및 원격 액세스 트로이목마(RAT)를 피해자의 기기에 설치한 다음 암호화폐 지갑, 비밀번호, Apple 키체인 데이터 및 브라우저 인증 쿠키를 찾습니다.

'잔디콜[..]net'에서 호스팅되는 이 소프트웨어는 사용자의 브라우저 구성에 따라 Windows 또는 Mac 기기에 맞게 조정되었습니다.

가짜 체인시커 CMO와의 텔레그램 대화

이러한 위협 행위자를 추적해 온 사이버 보안 연구원 g0njxa는 GrassCall 웹사이트가 이전에 다른 캠페인에 사용된 'Gatherum' 웹사이트의 거의 동일한 복제본이라는 사실을 밝혀냈습니다.

g0njxa에 따르면, 이러한 복제된 사이트는 Recorded Future의 보고서에도 자세히 설명되어 있는 'kevland'라는 해커 그룹의 하위 그룹이 조율하는 사회 공학 공격의 일부라고 합니다.

A크레이지 이블 사이버 범죄자에 대한 레코딩된 미래 보고서 설명했습니다:

Gatherum은 자칭 인공지능이 강화된 가상 회의 소프트웨어로, 주로 소셜 미디어(@GatherumAI)와 인공지능이 생성한 미디엄 블로그(medium[.]com/@GatherumApp)에서 광고하고 있습니다. 게더럼에 배정된 트래퍼에게는 사기 작업 매뉴얼이 제공됩니다. 게더럼은 크레이지 이블의 서브팀인 케블랜드(KEVLAND)가 관리하며, 인식트 그룹 내부에서 CE-6으로 추적하고 있습니다;

이 공격에 대응하여 크립토잡리스트는 즉시 사기성 채용공고를 삭제하고 지원자들에게 경고를 보내 지원자의 기기에서 다음 사항을 검사하도록 권고했습니다.멀웨어.

하지만 공격자들은 이미 '바이브콜'이라는 새로운 캠페인으로 초점을 옮겼으며, GrassCall과 동일한 웹사이트 템플릿을 계속 활용하고 있다고 g0njxa는 보고합니다.

이러한 변화는 공격자들이 방어를 우회하기 위해 적응하면서 진화하는 공격자의 수법을 강조합니다.