Более 1 миллиона долларов скомпрометировано: сложная кампания атаки GreedyBear через браузер

Российская хакерская группа GreedyBear успешно организовала масштабную операцию по краже криптовалюты за последние пять недель, с потерями, превышающими 1 миллион долларов, согласно недавнему отчету о безопасности от Koi Security. Киберпреступники использовали арсенал из 150 модифицированных расширений Firefox, примерно 500 вредоносных исполняемых файлов для Windows и десятков фишинговых страниц для реализации своей стратегии атаки.

Эксплуатация расширений браузера: основной источник дохода

Кампания с расширениями для Firefox оказалась самым прибыльным методом группы, принёсшим большинство из украденных 1 миллиона долларов. Метод атаки основан на обманной технике под названием Hollowing расширений, которая обходит протоколы безопасности магазинов приложений. Хакеры начинают с загрузки легитимных-выглядящих версий популярных криптовалютных кошельков — включая MetaMask, Exodus, Rabby Wallet и TronLink — в каналы распространения. После того, как пользователи скачивают эти расширения, последующие обновления внедряют вредоносный код в приложения.

Для повышения доверия группа искусственно завышает оценки пользователей с помощью фальшивых положительных отзывов, создавая ложное ощущение легитимности. Этот слой социальной инженерии значительно увеличивает количество загрузок среди ничего не подозревающих пользователей криптовалюты. После установки скомпрометированные расширения функционируют как инструменты сбора учетных данных, тихо захватывая приватные ключи кошельков и данные доступа. Эти украденные учетные данные затем используют для вывода криптовалютных средств со счетов жертв.

Разнообразная инфраструктура атаки

Помимо угроз, основанных на браузере, GreedyBear ведет параллельную линию атаки, используя почти 500 вредоносных исполняемых файлов для Windows. Эти файлы стратегически распространяются через российские репозитории программного обеспечения, где размещены пиратские или модифицированные приложения. Исполняемые файлы выполняют несколько функций: некоторые служат для кражи учетных данных, другие — для развертывания программ-вымогателей с целью шифрования данных жертвы, а некоторые работают как трояны, предназначенные для установления постоянного доступа к системе.

Этот многоуровневый подход демонстрирует сложное оперативное планирование, позволяя группе поддерживать несколько векторов заражения и адаптироваться к мерам безопасности, применяемым отдельными пользователями и платформами.