Медовий туман: користувачі TRON обережно з фішинговими атаками, що маскуються під плагін TronLink

BlockBeats повідомляє, 11 травня команда SlowMist нещодавно випустила попередження, виявивши випадок високоризикової фішингової атаки, спрямованої спеціально на користувачів гаманців TRON. Зловмисники створили підроблений плагін для Chrome, імітуючи офіційний гаманець TronLink, використовуючи двонаправлені символи Unicode та візуально схожі символи з кирилиці для підробки назви плагіна, щоб обдурити користувачів.

Цей зловмисний плагін у магазині Chrome Web Store має назву, дуже схожу на оригінальну, і використовує високий рівень завантажень та позитивні відгуки справжнього плагіна, що знижує обережність звичайних користувачів. Код плагіна дуже малий і відповідає лише за завантаження з віддаленого сервера повної фішингової сторінки, створюючи атаку за схемою «оболонка і ядро», що ускладнює виявлення зловмисної поведінки при звичайному статичному аналізі коду.

Фішингова сторінка, завантажена з віддаленого сервера, майже ідентична справжньому веб-гаманцю TronLink, спеціально створена для обману користувачів з метою отримання мнемонічних фраз, приватних ключів, файлів Keystore та паролів до гаманця. Після їх введення ці конфіденційні дані негайно надсилаються зловмисникам через Telegram-бота. Крім того, ця сторінка має вбудовану функцію проти відлагодження, яка забороняє контекстне меню, інструменти розробника, перетягування та друк сторінки, а також здійснює перенаправлення залежно від геолокації та мовних налаштувань користувача (особливо для російськомовних), щоб уникнути автоматизованих систем безпеки.

SlowMist рекомендує користувачам негайно перевірити та видалити підозрілі розширення невідомого походження, очистити локальні дані браузера та звернути увагу на можливі підозрілі мережеві запити. Якщо ви випадково розкрили інформацію про гаманець, потрібно негайно створити новий гаманець і перенести всі активи на безпечну адресу.