Lebih dari 1 Juta Dolar Terkompromi: Kampanye Serangan Browser Canggih GreedyBear

Kelompok peretas Rusia GreedyBear telah berhasil mengorkestrasi operasi pencurian cryptocurrency besar-besaran selama lima minggu terakhir, dengan kerugian melebihi 1 juta dolar, menurut laporan keamanan terbaru dari Koi Security. Para peretas menggunakan arsenal berisi 150 ekstensi Firefox yang dimodifikasi, sekitar 500 file eksekusi Windows berbahaya, dan puluhan halaman phishing untuk melaksanakan strategi serangan mereka.

Eksploitasi Ekstensi Browser: Penggerak Pendapatan Utama

Kampanye ekstensi Firefox terbukti menjadi metode paling menguntungkan bagi kelompok ini, menghasilkan sebagian besar dari 1 juta dolar dana yang dicuri. Metodologi serangan mengandalkan teknik penipuan yang disebut Extension Hollowing, yang melewati protokol keamanan toko aplikasi. Para peretas memulai dengan mengunggah versi wallet cryptocurrency yang tampak sah—termasuk MetaMask, Exodus, Rabby Wallet, dan TronLink—ke saluran distribusi. Setelah pengguna mengunduh ekstensi ini, pembaruan berikutnya menyuntikkan kode berbahaya ke dalam aplikasi.

Untuk meningkatkan kredibilitas, kelompok ini secara artifisial meningkatkan peringkat pengguna melalui ulasan positif palsu, menciptakan kesan legitimasi palsu. Lapisan rekayasa sosial ini secara signifikan meningkatkan tingkat unduhan di antara pengguna cryptocurrency yang tidak curiga. Setelah terpasang, ekstensi yang telah dikompromikan berfungsi sebagai alat pengumpul kredensial, diam-diam menangkap kunci pribadi wallet dan kredensial akses. Kredensial yang dicuri ini kemudian digunakan sebagai senjata untuk menguras saldo cryptocurrency dari wallet korban.

Infrastruktur Serangan yang Beragam

Selain ancaman berbasis browser, GreedyBear menjalankan aliran serangan paralel menggunakan hampir 500 file eksekusi Windows berbahaya. File-file ini didistribusikan secara strategis melalui repositori perangkat lunak Rusia yang menyimpan aplikasi bajakan atau yang telah dimodifikasi. File eksekusi ini memiliki berbagai tujuan: beberapa berfungsi sebagai pencuri kredensial yang menargetkan informasi akun yang tersimpan, yang lain menyebarkan ransomware untuk mengenkripsi data korban, dan beberapa beroperasi sebagai trojan yang dirancang untuk membangun akses sistem yang persisten.

Pendekatan berlapis ini menunjukkan perencanaan operasional yang canggih, memungkinkan kelompok ini mempertahankan beberapa vektor infeksi dan beradaptasi dengan langkah-langkah keamanan yang diterapkan oleh pengguna dan platform individual.