Một chiến dịch lừa đảo nhắm vào người dùng Cardano (ADA) đã xuất hiện từ cuối tháng 12, phát tán mã độc được ngụy trang dưới dạng ứng dụng desktop của ví Eternl.
Các nhà nghiên cứu bảo mật đã xác định cuộc tấn công sau khi phân tích những email được soạn thảo rất chuyên nghiệp với tiêu đề "Eternl Desktop Is Live - Secure Execution for Atrium & Diffusion Participants."
Các email giả mạo này đề cập đến những thuật ngữ hợp pháp trong hệ sinh thái Cardano, bao gồm NIGHT và phần thưởng token ATMA thông qua chương trình Diffusion Staking Basket.
Kẻ tấn công sử dụng tên miền chưa được xác minh download.eternldesktop.network để phân phối bộ cài độc hại.
Chuyện gì đã xảy ra
Thợ săn mối đe dọa độc lập Anurag đã phân tích tệp Eternl.msi dung lượng 23,3 MB và phát hiện nó chứa phần mềm quản lý từ xa LogMeIn GoTo Resolve.
Trình cài đặt thả xuống một tệp thực thi có tên unattended-updater.exe, tệp này tạo các tệp cấu hình cho phép truy cập từ xa mà không cần tương tác từ người dùng.
Mã độc thiết lập kết nối tới hạ tầng hợp pháp của GoTo Resolve, cho phép kẻ tấn công thực thi lệnh và giám sát hệ thống nạn nhân.
Phân tích mạng cho thấy phần mềm gửi thông tin cho kẻ tấn công dưới dạng JSON thông qua các máy chủ từ xa.
Các email không có lỗi chính tả và sử dụng ngôn ngữ chuyên nghiệp, trau chuốt, khiến chúng khó phân biệt với thông điệp hợp pháp.
Không có chữ ký số hay mã checksum đi kèm bộ cài, khiến người dùng không thể xác minh tính xác thực trước khi cài đặt.
Đọc thêm: Crypto Phishing Losses Fall 83% To $84 Million In 2025 Despite Active Drainer Ecosystem
Tại sao nó quan trọng
Chiến dịch này là một nỗ lực lạm dụng chuỗi cung ứng, nhằm thiết lập quyền truy cập trái phép kéo dài vào hệ thống của người dùng Cardano.
Công cụ quản lý từ xa cho phép kẻ tấn công rút sạch ví tiền mã hóa và đánh cắp thông tin đăng nhập sau khi được cài trên máy nạn nhân.
Cuộc tấn công cho thấy cách các tác nhân đe dọa lợi dụng phần mềm quản trị hợp pháp để vượt qua phát hiện của phần mềm diệt virus.
Các nhà nghiên cứu bảo mật nhấn mạnh người dùng chỉ nên tải ứng dụng ví từ các kênh truyền thông chính thức của Eternl.
Tên miền mới đăng ký và việc không có bất kỳ thông báo chính thức nào từ Eternl là những dấu hiệu cảnh báo quan trọng nhưng đã bị một số người dùng bỏ qua.
Những chiến dịch lừa đảo tương tự trước đây đã nhiều lần nhắm mục tiêu người dùng tiền mã hóa thông qua cập nhật phần mềm giả và ứng dụng ví giả mạo.
Đọc thêm: Bitcoin Dips Below $90K As Trump Claims Maduro Captured In Venezuela Strike