Expondo um roubo de criptografia: aplicativo falso do Skype vinculado à perda de 200.000 USDT
A empresa de segurança cibernética SlowMistreportou um novo vetor direcionado a usuários de criptografia e Web3. Esta fraude, que levou ao roubo de fundos de uma vítima inocente que baixou a aplicação da Internet, destaca a crescente sofisticação dos cibercriminosos que visam não apenas carteiras e bolsas, mas também aplicações de redes sociais amplamente utilizadas.
SlowMist descobre operação sofisticada de phishing usando aplicativo falso do Skype
Com base nas informações fornecidas, parece que o ataque cibernético teve como alvo principalmente indivíduos residentes na China. Isto é atribuído ao facto de regulamentos rigorosos impostos aos mercados de aplicações tradicionais na área terem obrigado os utilizadores a instalar versões não autorizadas de tais aplicações, exacerbando assim potenciais riscos de segurança.
Vários aplicativos importantes, como Skype, WhatsApp e Telegram, foram alvo de ataques cibernéticos recentes. Em um caso, descobriu-se que um impostor malicioso do Skype fraudou com sucesso uma vítima inocente em US$ 200.000. Como resultado, é essencial que os indivíduos tenham cautela ao usar essas plataformas e garantam que baixem apenas versões legítimas do software de fontes confiáveis.
Após uma inspeção minuciosa do certificado digital fraudulento do aplicativo Skype, ficou evidente que as informações da assinatura apresentavam uma série de irregularidades preocupantes. Especificamente, o processo de verificação revelou uma caracterização suspeitamente rudimentar, com apenas o rótulo abreviado “CN” utilizado para identificar a autoridade certificadora responsável por autenticar a legitimidade do software. Este aparente descuido é representado visualmente na ilustração fornecida.
Um exame do arquivo apk de um suposto aplicativo Skype revelou evidências de código malicioso, de acordo com a SlowMist, uma empresa de segurança cibernética.
Dado que o período de validade do certificado digital teve início em 11 de setembro de 2023 e a sua presença em diversos recursos online corresponde às atividades do utilizador comprometido, é razoável inferir que esta aplicação foi recentemente desenvolvida por uma organização cibercriminosa chinesa. Além disso, o facto de o software utilizar uma versão antiquada do Skype apoia esta hipótese, uma vez que tais versões são mais susceptíveis de exploração.
Uma análise mais aprofundada do ataque ao aplicativo de phishing
Após um exame mais aprofundado pela equipe do SlowMist, descobriu-se que o aplicativo empregava o uso do Bangcle, uma técnica cada vez mais comum utilizada por aplicativos maliciosos para evitar a detecção. Após a descompilação do APK, foram identificadas modificações na estrutura da rede OkHttp3, permitindo a extração não autorizada de informações confidenciais do dispositivo do usuário.
A versão atualizada do OkHttp3 foi desenvolvida com o objetivo de permitir o upload simultâneo de imagens e o monitoramento contínuo de imagens recentes em tempo real, encaminhando-as para um servidor web fraudulento.
O domínio ‘bn-download3.com’ foi utilizado por um grupo de phishing para se passar pela exchange Binance e por um backend do Skype. Este caso é um entre vários domínios empregados por esta gangue em particular, sugerindo que eles se envolveram em múltiplas atividades fraudulentas no domínio da tecnologia Web3.
O aplicativo supostamente solicitou acesso às contas de mídia social do usuário para diversos fins, mas descobriu-se que ele coletava secretamente informações confidenciais, como fotografias, detalhes de dispositivos e listas de contatos. Além disso, descobriu-se que este aplicativo aparentemente inofensivo monitorava secretamente conversas sobre moedas digitais e substituía endereços de carteiras legítimos por aqueles manipulados por cibercriminosos.
Por meio de um processo de lista negra e utilização da ferramenta de análise MistTrack, a equipe do SlowMist conseguiu identificar um número substancial de transações envolvendo o United States Dollar Tether (USDT) que estavam associadas aos endereços maliciosos identificados anteriormente. Estas transações envolveram a transferência de fundos para prestadores de serviços externos.
Os fundos desviados foram transmitidos para vários endereços nas blockchains Tron e Ethereum. Especificamente, eles foram enviados para os endereços TJhqKzGQ3LzT9ih53JoyAvMnnH5EThWLQB e TEGtKLavujdMrYxQWAsowXqxUHMdurUhRP na rede Tron. Adicionalmente, foram transferidos para os endereços 0xF90acFBe580F58f912F557B444bA1bf77053fc03 e 0x03d65A25Db71C228c4BD202C4
O cenário atual se assemelha a um escândalo anterior de aplicação fraudulenta da Binance que foi descoberto no final de 2022, ressaltando uma tendência recorrente de táticas avançadas de phishing. É imperativo que os usuários evitem baixar aplicativos de fontes não oficiais e permaneçam constantemente alertas para evitar serem vítimas de tais manobras enganosas.
A equipe de segurança da SlowMist ressalta a importância crítica da vigilância intensificada em relação à segurança cibernética no domínio da tecnologia blockchain. Atualmente, de acordo com nossos registros, o Ethereum (ETH) está sendo negociado a um preço de US$ 2.060.
Os preços da ETH tendem para cima no gráfico diário. Fonte:ETHUSDT no Tradingview
Imagem da capa do Unsplash, gráfico do Tradingview
*️⃣ Link da fonte: