Analitycy firmy zajmującej się bezpieczeństwem blockchain, SlowMist, opisali nowe zagrożenie skierowane w użytkowników komputerów Apple. Wykryty malware na macOS potrafi wykradać dane logowania, przejmować aktywne sesje w komunikatorze Telegram oraz uzyskiwać dostęp do zaszyfrowanych portfeli kryptowalutowych. W niektórych przypadkach cyberprzestępcy posługują się także fałszywymi aplikacjami, których jedynym celem jest wyłudzenie od ofiary frazy odzyskiwania portfela.
To kolejny sygnał, że posiadacze cyfrowych aktywów pozostają jednym z ulubionych celów cyberprzestępców, a systemy operacyjne uznawane dotąd za mniej narażone na infekcje, jak macOS, coraz częściej trafiają na celownik twórców złośliwego oprogramowania.
Jak działa złośliwe oprogramowanie
Według ustaleń SlowMist, malware działa wieloetapowo. Pierwszym krokiem jest przejęcie danych logowania użytkownika, co daje atakującym punkt wejścia do dalszych działań na zainfekowanym urządzeniu. Mając dostęp do poświadczeń, przestępcy mogą podjąć próbę odszyfrowania portfeli kryptowalutowych przechowywanych lokalnie na komputerze ofiary.
Źródło: cointelegraph.com
Mechanizm ten pokazuje, że zagrożenie nie ogranicza się do jednej funkcji, lecz stanowi zestaw narzędzi łączących kradzież tożsamości cyfrowej z bezpośrednim atakiem na środki finansowe użytkownika.
Telegram w centrum ataku
Szczególną uwagę badacze zwrócili na zdolność malware do przejmowania sesji Telegrama. Komunikator ten jest szeroko wykorzystywany w środowisku kryptowalutowym, między innymi do komunikacji w grupach inwestorskich, prowadzenia transakcji peer-to-peer czy obsługi botów handlowych. Przejęcie aktywnej sesji oznacza, że atakujący może działać w imieniu ofiary bez konieczności ponownego logowania się i omijania w ten sposób części zabezpieczeń.
Dla użytkowników aktywnych w społecznościach kryptowalutowych na Telegramie taki scenariusz oznacza ryzyko nie tylko utraty prywatnych rozmów, ale też potencjalnego wykorzystania konta do dalszego oszukiwania innych osób, na przykład kontaktów ofiary.
Fałszywe aplikacje i wyłudzanie fraz odzyskiwania
SlowMist wskazuje również na inny wektor ataku, jakim są podszywające się aplikacje. Ich zadaniem jest nakłonienie użytkownika do samodzielnego wpisania frazy odzyskiwania portfela, czyli tzw. seed phrase. To ciąg słów, który umożliwia pełne odtworzenie dostępu do portfela kryptowalutowego, a jego ujawnienie osobom trzecim jest równoznaczne z przekazaniem im pełnej kontroli nad środkami.
W praktyce oznacza to, że nawet jeśli sam system operacyjny nie zostanie w pełni skompromitowany, sama socjotechnika, czyli nakłonienie ofiary do dobrowolnego ujawnienia poufnych danych, wystarczy przestępcom do przejęcia aktywów.
Dlaczego to działa
Fałszywe aplikacje często imitują wygląd i funkcjonalność popularnych, legalnych narzędzi kryptowalutowych. Użytkownik, przekonany, że korzysta z zaufanego oprogramowania, sam wprowadza dane, które w normalnych okolicznościach nigdy nie powinny opuszczać jego urządzenia ani być udostępniane jakiejkolwiek stronie trzeciej.
Praktyczne wnioski dla posiadaczy kryptowalut
Opisane przez SlowMist zagrożenie pokazuje, że bezpieczeństwo cyfrowych aktywów zależy nie tylko od samego systemu operacyjnego, ale przede wszystkim od ostrożności użytkownika. Z faktów przedstawionych przez badaczy wynikają konkretne wskazówki:
- Nie należy instalować aplikacji kryptowalutowych spoza oficjalnych, zweryfikowanych źródeł.
- Fraza odzyskiwania portfela nigdy nie powinna być wpisywana w jakiejkolwiek aplikacji, stronie czy komunikatorze poza oryginalnym, zaufanym portfelem.
- Warto zachować czujność wobec nietypowej aktywności na koncie Telegram, ponieważ może to świadczyć o przejęciu sesji.
- Dane logowania do usług powiązanych z portfelami kryptowalutowymi powinny być chronione dodatkowymi warstwami zabezpieczeń, tam gdzie jest to możliwe.
Opisany przez SlowMist przypadek malware atakującego macOS potwierdza, że użytkownicy kryptowalut pozostają celem coraz bardziej wyrafinowanych ataków łączących techniczne przejęcie danych z manipulacją psychologiczną. Kluczowym elementem obrony pozostaje zdrowy sceptycyzm wobec nieznanych aplikacji oraz absolutna zasada nieudostępniania nikomu frazy odzyskiwania portfela, niezależnie od okoliczności czy pozornej wiarygodności źródła żądania.