Un atacante ataca fondos de Cripto adinerados mediante chats de Telegram.

En el último tipo de ataques centrados en criptomonedas, un atacante conocido como DEV-0139 ha atacado fondos de Criptomonedas adinerados mediante el uso de chats grupales de Telegram, dijo el equipo de Inteligencia de Seguridad de Microsoft (MSFT) en un informe El miércoles.

Las comisiones que cobran las plataformas de intercambio de Cripto sobre las transacciones representan un gran desafío para los fondos de inversión y los operadores adinerados. Representan un costo y deben optimizarse para minimizar el impacto en los márgenes y las ganancias. Como ocurre con muchas otras empresas del sector, los mayores costos provienen de las comisiones que cobran las plataformas.

El atacante o el grupo de atacantes aprovecharon este problema específico para atraer a sus objetivos de fondos criptográficos.

DEV-0139 se unió a varios grupos de Telegram, utilizados por clientes y plataformas de intercambio de alto perfil para comunicarse, e identificó a su objetivo entre los miembros del grupo. Las plataformas de intercambio OKX, Huobi y Binance fueron atacadas, según datos del informe de Microsoft.

Haciéndose pasar por un empleado de una plataforma de intercambio, DEV-0139 invitó a la víctima a otro grupo de chat y fingió pedirle su opinión sobre las estructuras de comisiones de las plataformas. Luego, inició una conversación para ganarse la confianza de la víctima, utilizando su conocimiento del sector y su preparación para atraer a las víctimas gradualmente.

Luego, DEV-0139 envió un archivo Excel modificado que contenía datos precisos sobre las estructuras de tarifas entre las empresas de intercambio de criptomonedas con el objetivo de aumentar su credibilidad.

El archivo de Excel inició una serie de actividades, incluyendo el uso de un programa malicioso para recuperar datos y extraer otra hoja de Excel. Esta hoja se ejecutó en modo invisible y se utilizó para descargar un archivo de imagen con tres ejecutables: un archivo legítimo de Windows, una versión maliciosa de un archivo DLL y una puerta trasera con codificación XOR.

Una DLL es una biblioteca que contiene código y datos que pueden ser utilizados por más de un programa simultáneamente. Por otro lado, XOR es un método de cifrado utilizado para cifrar datos y es difícil de descifrar mediante fuerza bruta.

El actor de la amenaza luego pudo acceder de forma remota al sistema infectado mediante el uso de la puerta trasera.

Microsoft dijo que DEV-0139 también puede haber ejecutado otras campañas utilizando técnicas similares.