Hơn 1 Triệu Đô La Bị Thoái Mái: Chiến Dịch Tấn Công Trình Duyệt Phức Tạp của GreedyBear

Nhóm hacker người Nga GreedyBear đã thành công trong việc tổ chức một chiến dịch trộm tiền điện tử quy mô lớn trong vòng năm tuần qua, với thiệt hại vượt quá 1 triệu đô la, theo một báo cáo an ninh gần đây từ Koi Security. Các tin tặc đã triển khai một kho vũ khí gồm 150 tiện ích mở rộng Firefox đã chỉnh sửa, khoảng 500 tệp thực thi Windows độc hại và hàng chục trang lừa đảo để thực hiện chiến lược tấn công của mình.

Tận dụng Tiện ích Mở rộng Trình duyệt: Nguồn Thu Nhập Chính

Chiến dịch tiện ích mở rộng Firefox đã chứng minh là phương pháp sinh lợi nhất của nhóm, tạo ra phần lớn trong số 1 triệu đô la tiền bị đánh cắp. Phương pháp tấn công dựa trên kỹ thuật lừa đảo gọi là Extension Hollowing, giúp vượt qua các giao thức bảo mật của cửa hàng ứng dụng. Các hacker bắt đầu bằng cách tải lên các phiên bản hợp pháp của các ví tiền điện tử phổ biến—bao gồm MetaMask, Exodus, Rabby Wallet và TronLink—lên các kênh phân phối. Khi người dùng tải xuống các tiện ích mở rộng này, các bản cập nhật sau đó sẽ chèn mã độc vào các ứng dụng.

Để tăng độ tin cậy, nhóm giả mạo đánh giá của người dùng bằng các đánh giá tích cực giả mạo, tạo ra cảm giác hợp pháp giả. Lớp kỹ thuật xã hội này làm tăng đáng kể số lượt tải xuống từ các người dùng tiền điện tử không cảnh giác. Sau khi cài đặt, các tiện ích mở rộng bị xâm phạm hoạt động như các công cụ thu thập thông tin đăng nhập, âm thầm lấy cắp khóa riêng của ví và thông tin truy cập. Những thông tin đăng nhập bị đánh cắp này sau đó được sử dụng như vũ khí để rút tiền điện tử khỏi ví của nạn nhân.

Hạ tầng Tấn công Đa dạng

Ngoài các mối đe dọa dựa trên trình duyệt, GreedyBear còn vận hành một luồng tấn công song song sử dụng gần 500 tệp thực thi Windows độc hại. Các tệp này được phân phối chiến lược qua các kho phần mềm của Nga chứa các ứng dụng bị bẻ khóa hoặc đã chỉnh sửa. Các tệp thực thi này phục vụ nhiều mục đích: một số hoạt động như các phần mềm đánh cắp thông tin đăng nhập, nhắm vào dữ liệu tài khoản đã lưu, số khác triển khai ransomware để mã hóa dữ liệu của nạn nhân, và một số hoạt động như các Trojan nhằm thiết lập quyền truy cập hệ thống lâu dài.

Cách tiếp cận đa lớp này thể hiện sự lên kế hoạch vận hành tinh vi, cho phép nhóm duy trì nhiều vector lây nhiễm và thích nghi với các biện pháp bảo mật do các nền tảng và người dùng cá nhân triển khai.