Programy kradnące bitcoiny powracają: polowanie na kryptooszczędności użytkowników trwa

Pojawiło się nowe szkodliwe oprogramowanie, które kradnie kryptowaluty z portfela użytkownika poprzez podmianę jego adresu na własny w schowku urządzenia. Na celowniku cyberprzestępców znajdują się popularne kryptowaluty, takie jak bitcoin, ethereum, zcash, dash czy monero.

Z danych wynika, że przestępcy odnieśli już sukces w przypadku portfeli z bitcoinami, zarabiając łącznie blisko 140 000 dolarów. Ponadto eksperci zidentyfikowali nowego trojana, stworzonego w celu wydobywania kryptowaluty monero, którego kilka próbek krąży obecnie w internecie.

Wzrost popularności kryptowaluty na całym świecie powoduje, że szybko staje się ona atrakcyjnym celem cyberprzestępców. Badacze z Kaspersky Lab zaobserwowali już wzrost liczby koparek kryptowalut, które rozprzestrzeniły się na tysiącach komputerów i wygenerowały setki tysięcy dolarów. Ponadto eksperci zauważyli, że przestępcy zaczynają stosować mniej zaawansowane techniki i poświęcają mniej czasu i zasobów w tej dziedzinie. Z badania wynika, że programy kradnące kryptowalutę — które stają się coraz powszechniejsze od 2014 r. — znów zagrażają kryptooszczędnościom użytkowników.

Niedawno badacze z Kaspersky Lab wykryli nowego trojana CryptoShuffler, którego działanie polega na zmianie adresu portfela z kryptowalutą użytkownika w schowku zainfekowanego urządzenia. Od lat znane są ataki polegające na przechwytywaniu schowka, w których użytkownicy są przekierowywani na szkodliwe strony internetowe, a celem są systemy płatności online. Jednak przypadki dotyczące adresu portfela kryptowaluty są rzadkie.

W przypadku większości kryptowalut, jeśli użytkownik chce przelać kryptomonety innemu użytkownikowi, musi znać ID portfela odbiorcy — unikatowy numer wielocyfrowy. Oto w jaki sposób CryptoShuffler wykorzystuje konieczność obsługi tych liczb przez system. Po uruchomieniu trojan zaczyna monitorować schowek urządzenia, który jest wykorzystywany przez użytkowników podczas dokonywania płatności. Obejmuje to kopiowanie numerów portfeli i wklejanie ich do wiersza „adresu docelowego” oprogramowania, które jest wykorzystywane do przeprowadzenia transakcji. Trojan podmienia portfel użytkownika na portfel będący własnością twórcy szkodliwego oprogramowania, co oznacza, że gdy użytkownik wklei ID portfela w wierszu adresu docelowego, nie będzie on adresem, na który pierwotnie zamierzał wysłać pieniądze. W rezultacie ofiara przeleje swoje pieniądze bezpośrednio cyberprzestępcom, chyba że będzie na tyle czujna, aby zauważyć nagłą podmianę.

To ostatnie nie zdarza się często, ponieważ liczby wielocyfrowe oraz adresy portfeli w łańcuchu bloków zwykle są bardzo trudne do zapamiętania. Dlatego niełatwo jest określić jakiekolwiek cechy szczególne w wierszu transakcji, nawet jeśli użytkownik ma go przed oczami.

Podmiana adresu docelowego w schowku odbywa się natychmiast dzięki temu, że szukanie adresów portfeli jest prostym procesem: większość portfeli kryptowaluty posiada stałą pozycję w wierszu transakcji i zawsze wykorzystuje określoną liczbę znaków. Tym samym osoby atakujące mogą bez trudu tworzyć zwykłe kody, aby dokonać podmiany. Z badania wynika, że CryptoShuffler działa z wieloma najpopularniejszymi kryptowalutami, takimi jak bitcoin, ethereum, zcash, dash czy monero.

Jak dotąd, na podstawie obserwacji badaczy z Kaspersky Lab można stwierdzić, że przestępcy stojący za trojanem CryptoShuffler w większości odnieśli sukces w atakach na portfele z bitcoinami — zdołali ukraść 23 BTC, co stanowi równowartość blisko 140 000 dolarów. Łączne kwoty w innych portfelach wynoszą od kilku do kilku tysięcy dolarów.

Eksperci znaleźli również innego trojana, którego celem jest kryptowaluta monero. Jest to DiscordiaMiner, który instaluje i uruchamia pliki ze zdalnego serwera. Z badania wynika, że szkodnik ten wykazuje pewne podobieństwa w zakresie działania z trojanem NukeBot, który został wykryty wcześniej tego roku. Tak jak w przypadku NukeBota, kody źródłowe trojana zostały udostępnione na forach hakerskich.

/ Kaspersky Lab