Kampanye Malware Grasscall Menguras Dompet Crypto Melalui Wawancara Pekerjaan Palsu

Kampanye rekayasa sosial baru-baru ini menargetkan pencari kerja di ruang Web3 dengan wawancara kerja palsu melalui aplikasi pertemuan “rumput” yang jahat yang menginstal malware mencuri informasi untuk mencuri dompet cryptocurrency.

Ratusan orang telah terkena dampak penipuan, dengan beberapa melaporkan memiliki dompet mereka terkuras dalam serangan itu.

A Grup Telegram telah dibuat untuk membahas serangan dan bagi mereka yang terpengaruh untuk saling membantu menghilangkan infeksi malware dari perangkat Mac dan Windows.

Serangan Rekayasa Sosial Grasscall

Kampanye ini dilakukan oleh “tim pedagang” berbahasa Rusia yang dikenal sebagai Crazy Evil. Grup ini melakukan serangan rekayasa sosial untuk menipu pengguna agar mengunduh perangkat lunak berbahaya di perangkat Windows dan Mac mereka.

Grup kejahatan dunia maya ini dikenal karena menargetkan pengguna di ruang cryptocurrency, di mana mereka mempromosikan permainan palsu atau peluang kerja di media sosial.

Pengguna ditipu untuk menginstal perangkat lunak yang menggunakan malware mencuri informasi pada perangkat yang dapat digunakan untuk mencuri kata sandi, cookie otentikasi, dan dompet dari komputer yang dikompromikan.

Dalam konversi dengan choy, seorang profesional web3 yang menjadi sasaran Dengan serangan rekayasa sosial, BleepingComputer diberitahu bahwa para aktor ancaman menciptakan kepribadian online yang rumit yang terdiri dari situs web dan profil media sosial di X Dan LinkedIn di mana mereka berpura -pura menjadi perusahaan bernama “chainseeker.io”.

Aktor ancaman kemudian melanjutkan untuk mengambil daftar pekerjaan premium LinkedInDengan baik, dan cryptojobslist, salah satu situs pekerjaan yang lebih populer untuk karier Web3 dan blockchain.

Orang -orang yang melamar pekerjaan dikirim email yang berisi undangan wawancara, di mana mereka akan bertemu dengan Chief Marketing Officer. Target diminta untuk menjangkau CMO melalui telegram untuk mengoordinasikan pertemuan.

Ketika dihubungi, CMO palsu akan memberi tahu target bahwa mereka perlu mengunduh perangkat lunak pertemuan video yang disebut “Grasscall” menggunakan situs web dan kode yang disertakan.

Perangkat lunak Grasscall diunduh dari “Grasscall[.]Net, “dan akan menawarkan klien Windows atau Mac tergantung pada agen pengguna browser pengunjung.

Peneliti Cybersecurity g0njxayang telah melacak para aktor ancaman ini, mengatakan kepada BleepingComputer bahwa situs web Grasscall adalah klon dari situs web “berkumpul” yang digunakan dalam kampanye sebelumnya. Peneliti mengatakan situs web ini digunakan sebagai bagian dari serangan teknik sosial yang dilakukan oleh subkelompok jahat gila yang dikenal sebagai “Kevland,” yang juga dijelaskan dalam sebuah laporan oleh rekaman masa depan.

“Gatherum adalah perangkat lunak pertemuan virtual yang ditingkatkan AI yang diproklamirkan sendiri yang terutama diiklankan di media sosial (@gatherumai) dan blog sedang yang dihasilkan AI (medium[.]com/@callingumapp), “menjelaskan a Laporan Masa Depan yang Direkam pada penjahat cyber yang gila.

“Pekerja yang ditugaskan untuk berkumpul dilengkapi dengan manual untuk melakukan penipuan. Gatherum dikelola oleh Subteam Jahat Gila Kevland, dilacak secara internal oleh Insikt Group sebagai CE-6.”

Ketika pengunjung mencoba mengunduh aplikasi Grasscall, mereka akan diminta untuk memasukkan kode yang dibagikan oleh CMO palsu dalam konversi telegram.

Memasukkan kode yang benar, situs web akan menawarkan klien windows “rumputscall.exe”[[Virustotal]atau mac “rumputcall_v.6.10.dmg”[[Virustotal]klien. Saat dieksekusi, kedua program akan menginstal malware mencuri informasi atau Trojans akses jarak jauh (tikus).

Pada perangkat Windows, aplikasi pertemuan palsu akan menginstal tikus bersama dengan infostealer, seperti Rhadamanthys. Di Mac, itu akan menginstal Pencuri atom (amos) malware.

“Tikus digunakan untuk membuat kegigihan di mesin, menambahkan keylogger untuk kata sandi juga dan menggunakan phishing benih untuk dompet keras,” jelas G0NJXA.

Saat dieksekusi, malware akan mencoba mencuri file berdasarkan kata kunci, dompet cryptocurrency, kata sandi yang disimpan dalam gantungan kunci Apple, dan kata sandi dan cookie otentikasi yang disimpan di browser web.

G0NJXA mengatakan kepada BleepingComputer bahwa informasi curian diunggah ke server operasi, dan informasi tentang apa yang dicuri diposting ke saluran telegram yang digunakan oleh perusahaan cybercrime.

“Jika dompet ditemukan, kata sandi bruteforced dan aset dikeringkan, dan pembayaran dikeluarkan untuk pengguna yang membuat korban mengunduh perangkat lunak palsu,” kata peneliti kepada BleepingComputer.

Peneliti mengatakan informasi pembayaran untuk Anggota Jahat Gila diposting secara publik ke Telegram, mengungkapkan bahwa anggota operasi ini dapat membuat puluhan, jika tidak ratusan, ribuan dolar untuk setiap korban yang berhasil dikeringkannya.

Menanggapi serangan itu, Cryptojobslist menghapus daftar pekerjaan dan memperingatkan mereka yang menerapkan bahwa mereka adalah penipuan dan untuk memindai perangkat mereka untuk malware.

Karena perhatian publik terhadap penipuan ini, para aktor ancaman tampaknya telah mengakhiri kampanye khusus ini, dengan situs web tidak lagi tersedia.

Namun, bagi mereka yang secara keliru menginstal perangkat lunak, sangat penting bagi Anda untuk mengubah kata sandi, frasa sandi, dan token otentikasi untuk setiap situs web yang Anda kunjungi dan dompet cryptocurrency yang Anda miliki.

Penting juga untuk mengaktifkan otentikasi dua faktor di semua situs yang mendukungnya menggunakan aplikasi otentikasi. Setelah diaktifkan, bahkan jika kredensial Anda dicuri, para aktor ancaman tidak akan dapat mengakses akun Anda tanpa kode 2FA Anda.

G0NJXA mengatakan bahwa para aktor ancaman sekarang telah pindah ke kampanye baru yang disebut “Vibecall,” di mana para aktor ancaman terus menggunakan template situs yang sama dengan Grasscall.

Meskipun tidak terkait dengan kejahatan gila, peneliti cybersecurity Malwareyang juga telah melacak kampanye ini, memperingatkan BleepingComputer tentang kampanye malware baru yang berpura -pura menjadi game blockchain NFT bernama Mystix.

Seperti kampanye lain oleh para aktor ancaman ini, permainan menargetkan mereka yang berada di ruang crypto dan menggunakan malware serupa untuk mencuri dompet cryptocurrency.