Các vụ lừa đảo qua hội nghị Zoom giả mạo diễn ra thường xuyên. Làm thế nào để đảm bảo an toàn cho tiền?
Tiêu đề gốc: "Trăm nghe không bằng một thấy | Phân tích vụ lừa đảo giả mạo qua Zoom Meeting"
Nguồn gốc: SlowMist Technology
Ghi chú của biên tập viên: Gần đây, thị trường tiền điện tử đã chứng kiến sự tái diễn của các vụ lừa đảo sử dụng đường dẫn giả mạo qua Zoom Meeting. Đầu tiên, nhà sáng lập EurekaTrading, Kuan Sun, đã nhầm lẫn tin vào một lời mời họp giả mạo và cài đặt một plugin độc hại, dẫn đến một cuộc tấn công lừa đảo trị giá 13 triệu đô la. May mắn thay, Venus Protocol đã khẩn trương tạm dừng hoạt động và với sự hỗ trợ của nhiều nhóm bảo mật, số tiền đã được thu hồi thành công.
Vào ngày 8 tháng 9, Alexander Choi, người sáng lập cộng đồng giao dịch tiền điện tử Fortune Collective, cũng đã đăng một bài viết tiết lộ rằng anh đã thiết lập được liên lạc với một dự án giả mạo thông qua tin nhắn riêng trên Nền tảng X. Trong cuộc trò chuyện, anh đã vô tình nhấp vào một liên kết lừa đảo được ngụy trang dưới dạng một cuộc họp, dẫn đến mất gần 1 triệu đô la.
Tại sao các cuộc tấn công lừa đảo giả mạo cuộc họp Zoom lại thành công đến vậy? Làm thế nào các nhà đầu tư có thể tránh được điều này? SlowMist, một công ty bảo mật nổi tiếng trong ngành, đã xuất bản bài viết này vào ngày 27 tháng 12 năm 2024, nhắc nhở mọi người bảo vệ tiền của mình. Văn bản gốc như sau:
Bối cảnh
Gần đây, nhiều người dùng trên X đã báo cáo về một cuộc tấn công lừa đảo được ngụy trang dưới dạng một liên kết cuộc họp Zoom. Một nạn nhân đã cài đặt phần mềm độc hại sau khi nhấp vào liên kết cuộc họp Zoom độc hại, dẫn đến việc đánh cắp tài sản tiền điện tử, với thiệt hại lên tới hàng triệu đô la. Trong bối cảnh này, nhóm bảo mật SlowMist đã phân tích sự cố lừa đảo này và phương thức tấn công, đồng thời theo dõi dòng vốn của tin tặc.
(https://x.com/lsp8940/status/1871350801270296709)
Phân tích liên kết lừa đảo
Tin tặc đã sử dụng các tên miền như "app[.]us4zoom[.]us" để ngụy trang thành các liên kết cuộc họp Zoom hợp pháp. Các trang này rất giống với các cuộc họp Zoom thực tế. Khi người dùng nhấp vào nút "Bắt đầu cuộc họp", họ đã tải xuống một gói cài đặt độc hại thay vì khởi chạy ứng dụng Zoom cục bộ.
Bằng cách thăm dò các miền đã đề cập ở trên, chúng tôi đã phát hiện ra địa chỉ nhật ký giám sát của tin tặc (https[:]//app[.]us4zoom[.]us/error_log).
Giải mã cho thấy đây là một mục nhật ký của tập lệnh cố gắng gửi tin nhắn qua Telegram API, được viết bằng tiếng Nga.
Trang web này được triển khai 27 ngày trước. Tin tặc, có khả năng là người Nga, bắt đầu nhắm mục tiêu vào các nạn nhân vào ngày 14 tháng 11, theo dõi Telegram API để xem có ai nhấp vào nút tải xuống trên trang lừa đảo hay không.
Phân tích phần mềm độc hại
Gói cài đặt độc hại có tên "ZoomApp_v.3.14.dmg". Sau đây là giao diện được hiển thị bởi phần mềm lừa đảo Zoom, lừa người dùng thực thi tập lệnh độc hại có tên "ZoomApp.file" trong Terminal và thậm chí yêu cầu họ nhập mật khẩu cục bộ.
Sau đây là nội dung thực thi của tệp độc hại:
Sau khi giải mã nội dung trên, chúng tôi phát hiện đây là một tập lệnh osascript độc hại.
Phân tích sâu hơn cho thấy tập lệnh này tìm kiếm một tệp thực thi ẩn có tên ".ZoomApp" và chạy nó cục bộ. Phân tích ổ đĩa của gói cài đặt gốc, "ZoomApp_v.3.14.dmg," cho thấy gói cài đặt thực sự chứa một tệp thực thi ẩn có tên ".ZoomApp."
Phân tích hành vi độc hại
Phân tích tĩnh
Chúng tôi đã tải tệp nhị phân lên nền tảng tình báo mối đe dọa để phân tích và phát hiện ra rằng tệp này đã bị đánh dấu là độc hại.
(https://www.virustotal.com/gui/file/e4b6285e183dd5e1c4e9eaf30cec886fd15293205e706855a48b30c890cbf5f2)
Thông qua phân tích phân tách tĩnh, hình bên dưới hiển thị mã nhập của tệp nhị phân, được sử dụng để giải mã dữ liệu và thực thi tập lệnh.
Hình sau đây hiển thị phần dữ liệu, nơi hầu hết thông tin được mã hóa và mã hóa.
Sau khi giải mã dữ liệu, người ta phát hiện ra rằng tệp nhị phân cuối cùng đã thực thi một tập lệnh osascript độc hại (toàn bộ mã giải mã đã được chia sẻ tại: https://pastebin.com/qRYQ44xa). Tập lệnh này thu thập thông tin từ thiết bị của người dùng và gửi đến phần phụ trợ.
Hình sau đây hiển thị một phần mã liệt kê thông tin đường dẫn ID của các plug-in khác nhau.
Hình sau đây hiển thị một phần mã đọc thông tin KeyChain của máy tính. Sau khi thu thập thông tin hệ thống, dữ liệu trình duyệt, dữ liệu ví được mã hóa, dữ liệu Telegram, dữ liệu Notes và dữ liệu cookie, mã độc sẽ nén và gửi đến máy chủ do tin tặc kiểm soát (141.98.9.20). Do chương trình độc hại lừa người dùng nhập mật khẩu khi chạy, và các tập lệnh độc hại tiếp theo cũng thu thập dữ liệu KeyChain từ máy tính (có thể chứa nhiều mật khẩu khác nhau được lưu trữ trên máy tính), tin tặc sẽ cố gắng giải mã dữ liệu này và lấy cắp thông tin nhạy cảm như mã ghi nhớ ví và khóa riêng tư của người dùng, qua đó đánh cắp tài sản của họ. Phân tích cho thấy địa chỉ IP máy chủ của tin tặc nằm ở Hà Lan và đã bị các nền tảng tình báo mối đe dọa gắn cờ là độc hại.
(https://www.virustotal.com/gui/ip-address/141.98.9.20)
Phân tích động
Thực thi động chương trình độc hại trong môi trường ảo và phân tích quy trình. Hình ảnh sau đây hiển thị thông tin giám sát của chương trình độc hại đang thu thập dữ liệu cục bộ và gửi dữ liệu đến quy trình nền.
Phân tích MistTrack
Khi lọc các địa chỉ được đánh dấu là độc hại trong số các đối tượng chuyển tiền từ địa chỉ này (0xb01c), chúng tôi đã tìm thấy hai địa chỉ lừa đảo, một trong số đó được đánh dấu là Pink Drainer. Phân tích sâu hơn về hai địa chỉ lừa đảo này cho thấy số tiền chủ yếu được chuyển đến ChangeNOW và MEXC.
Tiếp theo, khi phân tích dòng tiền bị đánh cắp, chúng tôi phát hiện tổng cộng 296,45 ETH đã được chuyển đến địa chỉ mới 0xdfe7c22a382600dcffdde2c51aaa73d788ebae95.
Thời gian giao dịch đầu tiên của địa chỉ mới (0xdfe7) là vào tháng 7 năm 2023, liên quan đến nhiều chuỗi và số dư hiện tại là 32,81 ETH.
Các đường dẫn rút ETH chính của địa chỉ mới (0xdfe7) như sau:
· 200,79 ETH -> 0x19e0…5c98f
· 63,03 ETH -> 0x41a2…9c0b
· 8,44 ETH -> Đã đổi thành 15.720 USDT
· 14,39 ETH -> Gate.io
Các lần rút tiền tiếp theo từ địa chỉ mở rộng trên được liên kết với nhiều nền tảng như Bybit, Cryptomus.com, Swapspace, Gate.io và MEXC, và cũng được liên kết với các nền tảng được MistTrack đánh dấu là Angel Drainer và Theft. Ngoài ra, hiện tại có 99,96 ETH đang lưu trú tại địa chỉ 0x3624169dfeeead9f3234c0ccd38c3b97cecafd01.
Địa chỉ mới (0xdfe7) cũng hiển thị nhiều dấu vết giao dịch USDT, với việc USDT được chuyển đến các nền tảng như Binance, MEXC và FixedFloat. Phương thức lừa đảo được mô tả ở đây liên quan đến việc tin tặc ngụy trang thành các liên kết cuộc họp Zoom hợp pháp để lừa người dùng tải xuống và thực thi phần mềm độc hại. Phần mềm độc hại này thường có nhiều khả năng phá hoại, bao gồm thu thập thông tin hệ thống, đánh cắp dữ liệu trình duyệt và lấy thông tin ví tiền điện tử, sau đó truyền đến các máy chủ do tin tặc kiểm soát. Kiểu tấn công này thường kết hợp kỹ thuật xã hội và tấn công Trojan, khiến người dùng thiếu cảnh giác dễ dàng trở thành nạn nhân. Đội ngũ Bảo mật SlowMist khuyến nghị người dùng nên kiểm tra kỹ lưỡng các liên kết cuộc họp trước khi nhấp vào, tránh thực thi phần mềm và lệnh từ các nguồn không xác định, đồng thời cài đặt và cập nhật thường xuyên phần mềm diệt vi-rút. Để biết thêm kiến thức về bảo mật, chúng tôi khuyên bạn nên đọc "Cẩm nang Tự bảo vệ Rừng Tối Blockchain" do Đội ngũ Bảo mật SlowMist biên soạn: https://github.com/slowmist/Blockchain-dark-forest-selfguard-handbook/blob/main/README_CN.md.Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:
Nhóm Telegram đăng ký: https://t.me/theblockbeats
Nhóm Telegram thảo luận: https://t.me/BlockBeats_App
Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia
Bài viết liên quan
