Les utilisateurs de Cardano sont ciblés dans une campagne de phishing avec un faux portefeuille de bureau Eternl

Source : Yellow Titre original : Les utilisateurs de Cardano ciblés par une campagne de phishing avec un faux portefeuille de bureau Eternl

Lien original : Une campagne de phishing ciblant les utilisateurs de Cardano (ADA) circule depuis fin décembre, distribuant des logiciels malveillants déguisés en application de bureau du portefeuille Eternl.

Des chercheurs en sécurité ont identifié l’attaque après avoir analysé des courriels élaborés professionnellement intitulés “Eternl Desktop Is Live - Secure Execution for Atrium & Diffusion Participants.”

Les messages frauduleux font référence à des termes légitimes de l’écosystème Cardano, notamment NIGHT et des récompenses du jeton ATMA via le programme Diffusion Staking Basket.

Les attaquants utilisent le domaine non vérifié download.eternldesktop.network pour distribuer l’installateur malveillant.

Ce qui s’est passé

L’expert indépendant en menace Anurag a analysé le fichier Eternl.msi de 23,3 mégaoctets et a découvert qu’il contient le logiciel de gestion à distance LogMeIn GoTo Resolve.

L’installateur télécharge un exécutable nommé unattended-updater.exe qui crée des fichiers de configuration permettant un accès à distance sans interaction de l’utilisateur.

Le logiciel malveillant établit des connexions avec l’infrastructure légitime de GoTo Resolve, permettant aux attaquants d’exécuter des commandes et de surveiller les systèmes des victimes.

L’analyse réseau a montré que le logiciel envoie des informations aux attaquants au format JSON via des serveurs distants.

Les courriels ne contiennent pas de fautes d’orthographe et utilisent un langage professionnel et soigné, ce qui les rend difficiles à distinguer des communications légitimes.

L’installateur n’est pas accompagné d’une signature numérique ni d’une vérification de checksum, empêchant ainsi les utilisateurs de valider son authenticité avant l’installation.

Pourquoi c’est important

La campagne représente une tentative d’abus de la chaîne d’approvisionnement visant à établir un accès non autorisé et persistant aux systèmes des utilisateurs de Cardano.

Les outils de gestion à distance permettent aux attaquants de vider les portefeuilles de cryptomonnaies et de voler des identifiants une fois installés sur les machines des victimes.

L’attaque démontre comment les acteurs malveillants exploitent des logiciels administratifs légitimes pour contourner la détection par les antivirus.

Les chercheurs en sécurité ont souligné que les utilisateurs ne doivent télécharger des applications de portefeuille qu’à partir des canaux officiels de communication d’Eternl.

Le domaine récemment enregistré et l’absence d’annonces officielles de la part d’Eternl ont constitué des signaux d’alerte clés qui ont été ignorés par certains utilisateurs.

Des campagnes de phishing similaires ont déjà ciblé des utilisateurs de cryptomonnaies via de fausses mises à jour logicielles et des applications de portefeuille frauduleuses.