Сообщество Cardano под атакой: последняя фишинговая кампания нацелена на пользователей кошельков

Пользователи Cardano сталкиваются с нарастающим кризисом безопасности, поскольку киберпреступники запускают сложную фишинговую операцию, выдавая себя за команду Eternl Desktop wallet. Кампания использует мошеннические электронные письма с целью продвижения поддельных криптонаграда, чтобы распространять вредоносное ПО, способное дать злоумышленникам полный контроль над системой. Это представляет собой критическую угрозу для всех, кто держит или ставит на кон активы Cardano, поскольку атака сочетает социальную инженерию с передовыми механизмами доставки вредоносных программ.

Как разворачивается фишинговая атака

Атака начинается с обманных писем, маскирующихся под официальные сообщения от команды разработки Eternl. Эти мошеннические сообщения используют профессиональный язык, аккуратное оформление и легитимные функции управления для создания доверия. Получатели заманиваются обещаниями эксклюзивных наград в NIGHT и ATMA токенах, создавая искусственную срочность для перехода по встроенным ссылкам.

Фишинговые письма направляют доверчивых пользователей на недавно зарегистрированный домен: download.eternldesktop.network. Исследователь угроз Anurag обнаружил, что злоумышленники почти полностью скопировали оригинальное объявление Eternl Desktop, добавив сфабрикованные функции, такие как локальное управление ключами и совместимость с аппаратными кошельками. В письмах отсутствуют орфографические ошибки, и они имитируют профессиональный тон настоящих сообщений — это сознательная стратегия для обхода первоначального скептицизма пользователей.

Доставка вредоносного ПО: троян внутри поддельного установщика

Когда пользователи скачивают предполагаемый легитимный кошелек Eternl, они невольно запускают вредоносный MSI-установщик под названием Eternl.msi (хэш файла: 8fa4844e40669c1cb417d7cf923bf3e0). Этот установщик содержит встроенный инструмент LogMeIn Resolve, легитимный удаленный доступ, переоборудованный для злонамеренных целей.

При запуске установщик разворачивает исполняемый файл unattended_updater.exe (изначально названный GoToResolveUnattendedUpdater.exe). Этот компонент создает структуру папок в папке Program Files и записывает несколько конфигурационных файлов, включая unattended.json и pc.json. Важное значение имеет то, что файл unattended.json включает функцию удаленного доступа без согласия или ведома пользователя.

Анализ сетевого трафика показывает, что вредоносное ПО подключается к известной инфраструктуре GoTo Resolve, а именно к устройствам iot.console.gotoresolve.com и dumpster.console.gotoresolve.com. Исполняемый файл передает системные данные в формате JSON и устанавливает постоянные удаленные соединения, фактически предоставляя злоумышленникам бэкдор в компьютер жертвы.

Удаленный доступ — полный контроль над системой

После активации инструмента LogMeIn Resolve злоумышленники получают неограниченные возможности командного выполнения. Они могут выполнять произвольные команды, получать доступ к конфиденциальным файлам, управлять программным обеспечением кошелька или извлекать приватные ключи и сид-фразы. Вредоносное ПО работает тихо, без уведомления пользователя, что значительно усложняет его обнаружение для обычных пользователей.

Фишинговая атака обходится стандартные механизмы проверки операционной системы и не содержит проверки цифровой подписи — это позволяет вредоносному установщику запускаться без предупреждений системы безопасности. Эта техническая сложность отличает её от грубых фишинговых попыток и свидетельствует о вовлеченности организованных групп злоумышленников.

Уроки из прошлых атак: прецедент Meta

Эта фишинговая кампания Cardano напоминает задокументированную мошенническую схему Meta, которая обманула тысячи рекламодателей. В той атаке пользователи получали письма с утверждениями о нарушениях их рекламных аккаунтов в соответствии с регламентами ЕС и о скором блокировании. В сообщениях использовался бренд Instagram и официальный стиль, чтобы придать им авторитет.

Переход по фишинговой ссылке вел жертв на поддельный интерфейс Meta Business Manager. Лживая страница предупреждала о блокировке аккаунта, если пользователь не обновит свои данные немедленно. Обманный чат поддержки вел пользователей через «процесс восстановления», одновременно собирая их логин и пароль. Совпадения очевидны: обе кампании используют предлоги о регулировании, официальное брендирование, срочные тактики и сбор учетных данных.

Как защитить себя от фишинга и вредоносных программ

Эксперты по безопасности выделяют несколько мер предосторожности:

• Скачивайте только с официальных источников: всегда получайте программное обеспечение кошелька непосредственно с официального сайта проекта или проверенных репозиториев GitHub, никогда не по ссылкам в письмах
• Проверяйте подлинность домена: внимательно осматривайте URL — мошенники часто регистрируют домены, отличающиеся от легитимных всего одной буквой
• Проверяйте данные отправителя: легитимные проекты никогда не запрашивают скачивание кошелька через нежелательные письма
• Включайте системные защиты: поддерживайте актуальное антивирусное программное обеспечение, включайте Windows Defender и настраивайте правила брандмауэра
• Проверяйте цифровые подписи: легитимное программное обеспечение содержит действительные цифровые сертификаты; файлы без подписей должны вызывать подозрение
• Используйте аппаратные кошельки: для значительных активов рассмотрите аппаратные кошельки, такие как Ledger или Trezor, которые не могут быть скомпрометированы через десктопное вредоносное ПО
• Сообщайте о подозрительных письмах: пересылайте попытки фишинга в проекты кошельков и вашему почтовому провайдеру

Сложность этой фишинговой операции — сочетание технического мастерства в области вредоносных программ и социальной инженерии — подчеркивает, почему бдительность остается критически важной. Даже хорошо оформленные сообщения и интерфейсы, кажущиеся легитимными, могут скрывать разрушительные угрозы. По мере расширения использования Cardano возрастает и его привлекательность для киберпреступников, поэтому осведомленность сообщества о тактиках фишинга и механизмах доставки вредоносных программ становится необходимой для обеспечения безопасности всей экосистемы.