Більше ніж 1 мільйон доларів скомпрометовано: складна кампанія атак GreedyBear через браузер

Російська хакерська група GreedyBear успішно організувала масштабну операцію з крадіжки криптовалюти за останні п’ять тижнів, з втратами понад 1 мільйон доларів, згідно з недавнім звітом з безпеки від Koi Security. Кіберзлочинці застосували арсенал із 150 модифікованих розширень Firefox, приблизно 500 зловмисних виконуваних файлів для Windows і десятки фішингових сторінок для реалізації своєї стратегії атаки.

Використання розширень браузера: основне джерело доходу

Кампанія з використання розширень Firefox виявилася найприбутковішим методом групи, що приносить більшість із понад 1 мільйона викрадених доларів. Методика атаки базується на обманній техніці під назвою Extension Hollowing, яка обходить протоколи безпеки магазинів додатків. Злочинці починають із завантаження легітимних версій популярних криптовалютних гаманців — таких як MetaMask, Exodus, Rabby Wallet і TronLink — до каналів розповсюдження. Після того, як користувачі завантажують ці розширення, подальші оновлення вводять зловмисний код у програми.

Щоб підвищити довіру, група штучно завищує рейтинги користувачів за допомогою фальшивих позитивних відгуків, створюючи хибне враження легітимності. Цей рівень соціальної інженерії значно збільшує кількість завантажень серед необізнаних користувачів криптовалюти. Після встановлення, зламані розширення функціонують як інструменти збору облікових даних, тихо захоплюючи приватні ключі гаманців і доступні дані. Вкрадені облікові дані потім використовуються для виведення криптовалютних коштів із гаманців жертв.

Диверсифікована інфраструктура атаки

Крім загроз через браузер, GreedyBear веде паралельний потік атак із використанням майже 500 зловмисних виконуваних файлів для Windows. Ці файли стратегічно розповсюджуються через російські репозиторії програмного забезпечення, що містять піратські або модифіковані додатки. Виконувані файли виконують кілька функцій: деякі крадуть облікові дані, цілеспрямовано зберігаючи інформацію про облікові записи, інші розгортають програмне забезпечення для шифрування даних жертви, а кілька працюють як трояни, створені для встановлення постійного доступу до системи.

Цей багаторівневий підхід демонструє високий рівень операційного планування, що дозволяє групі підтримувати кілька векторів інфекції та адаптуватися до заходів безпеки, застосовуваних окремими користувачами та платформами.