Команда «Лаборатория Касперского» отчиталась о своей свежей находке — сложной многоступенчатой атаке на владельцев криптокошельков в Европе, США и Латинской Америке.
Атакующие используют продвинутые методы и демонстрируют высокий уровень технических навыков. Атака проводится с помощью трояна-загрузчика DoubleFinger. Как рассказали эксперты, это сложное вредоносное ПО, которое внедряет программу для кражи логинов и паролей от криптовалютных кошельков (GreetingGhoul) и троян Remcos Remote Access Trojan (RAT).
Атака начинается после того, как жертва открывает вредоносное вложение в формате PIF в электронной почте. В общей сложности DoubleFinger требуется пять этапов, чтобы создать задачу, которую стилер GreetingGhoul должен будет выполнять ежедневно в определённое время.
Троян-стилер состоит из двух компонентов. Первый использует среду MS WebView2 для создания фальшивых окон, которые перекрывают интерфейс настоящих криптовалютных кошельков и куда пользователь по невнимательности может ввести cид-фразу. Второй ищет приложения с криптовалютными кошельками на устройстве жертвы.
В коде зловреда эксперты обнаружили несколько текстовых фрагментов на русском языке, например URL-адрес командного сервера начинается с русского слова в искажённой транслитерации «Privetsvoyu». Однако этого недостаточно, чтобы утверждать, что за атаками стоят русскоговорящие организаторы.