StepDrainer يفرغ محافظ العملات الرقمية عبر أكثر من 20 شبكة

أداة سرقة العملات الرقمية تسمى StepDrainer تسرق الأموال من المحافظ عبر إيثريوم و BNB Chain و Arbitrum و Polygon و على الأقل 17 شبكة أخرى.

يعمل StepDrainer كحزمة برمجيات خبيثة كخدمة. يستخدم نوافذ منبثقة وهمية وواقعية لمحافظ Web3 لخداع الأشخاص للموافقة على التحويلات. بعض تلك الشاشات مصممة لتبدو كاتصالات محفظة Web3Modal.

بمجرد أن يقوم شخص ما بتوصيل محفظته، يبحث StepDrainer عن أكثر الرموز قيمة أولاً ويقوم تلقائيًا بإرسالها إلى محافظ يسيطر عليها المهاجمون، وفقًا لـ LevelBlue.

يستخدم StepDrainer أدوات العقود الذكية بشكل خاطئ

يستخدم StepDrainer أدوات العقود الذكية الحقيقية مثل Seaport و Permit v2 لعرض نوافذ منبثقة لموافقة المحفظة تبدو طبيعية. لكن التفاصيل داخل تلك النوافذ مزيفة.

في حالة واحدة، وجد باحثو الأمن السيبراني أن الضحايا رأوا رسالة وهمية تقول إنهم يتلقون “+500 USDT”، مما جعل الموافقة تبدو آمنة.

يحمّل StepDrainer برمجته الضارة من خلال تغيير السكربتات ويحصل على إعداده من حسابات لامركزية على السلسلة.

يساعد هذا الإعداد المهاجمين على تجنب أدوات الأمان العادية لأن الكود الضار لا يُخزن في مكان ثابت يمكن فحصه بسهولة.

ليس مشروع StepDrainer من قبل شخص واحد فقط. قال الباحثون إن هناك سوقًا تحت الأرض متطورة تبيع مجموعات سرقة جاهزة، مما يسهل على العديد من المهاجمين إضافة ميزات سرقة المحافظ إلى عمليات الاحتيال التي يديرونها بالفعل.

EtherRAT يسرق العملات الرقمية من مستخدمي Windows

كما وجد الباحثون برمجية خبيثة أخرى بجانب StepDrainer، تسمى EtherRAT. تستهدف Windows من خلال نسخة وهمية من أداة إدارة الشبكة Tftpd64.

وفقًا لـ LevelBlue، يخفي EtherRAT Node.js داخل مثبت وهمي، ويتأكد من بقائه على الكمبيوتر عبر سجل Windows، ويستخدم PowerShell لفحص النظام.

بدأ EtherRAT باستهداف Linux أولاً. الآن يجلب خدع البرمجيات الخبيثة وسرقة العملات الرقمية إلى Windows.

يعمل EtherRAT بصمت في الخلفية. يفحص أدوات مكافحة الفيروسات، وإعدادات النظام، وتفاصيل النطاق، والأجهزة قبل أن يبدأ بالسرقة.

وفقًا لتقرير حديث من Cryptopolitan، تم سرقة أكثر من $800K من محافظ إيثريوم خلال الـ 24 ساعة الماضية. قام المهاجم بسرقة أصول رقمية أكثر من ذلك ثم قام بتبادل الأموال عبر ThorChain.

تمت إشارة إلى أن العديد من المحافظ المسروقة كانت غير نشطة لأكثر من 7 سنوات، وفقًا لبحث على السلسلة من Wazz. تم توجيه الأموال المسروقة بواسطة عنوان محفظة واحد يسيطر عليه المهاجم.

ينصح خبراء الأمن السيبراني المستخدمين الذين يربطون محافظهم بمواقع غير معروفة بالتحقق من النطاق، وقراءة تفاصيل المعاملة قبل التوقيع، وإزالة أي أذونات غير محدودة للرموز.

إذا كنت تقرأ هذا، فأنت بالفعل في المقدمة. ابقَ هناك مع نشرتنا الإخبارية.