Исследователи из SlowMist опубликовали новый отчет о криптомошенниках

Специалисты из компании SlowMist рассказали, что подробно изучили действия криптовалютных мошенников. Исследователи подчеркнули: из-за недоступности онлайн-маркета Google Play в Китае многие пользователи нередко прибегают к поиску и загрузке приложений непосредственно из браузера. Однако некоторые злоумышленники выкладывают в Сеть не только фейковые кошельки и биржи, а такие программы, как Telegram, WhatsApp и Skype.

К примеру, исследователи проанализировали информацию о подписи одного из поддельных приложений Skype. Как правило, данные содержат аномалии и значительно отличаются от сведений из официальной программы. Так было и на этот раз.

Аналитики подчеркнули, что информация о подписи фальшивого приложения довольно простая и почти пустая, а владелец и издатель помечены как CN. На основании этого исследователи сделали вывод, что мошенники находятся в Китае.

Используя поиск Baidu, специалисты обнаружили несколько источников одной и той же поддельной версии Skype. Проанализировав сведения, команда безопасности SlowMist увидела, что фальшивое приложение модифицировало широко применяемую сетевую структуру Android, okhttp3, для выполнения различных вредоносных операций.

С помощью платформы сопоставления активов Weibu обнаружено, что фишинговый серверный домен bn-download3 com выдавал себя за биржу Binance 23 ноября 2022 года. Однако 23 мая 2023-го он начал позиционировать себя как Skype.

Дальнейшее исследование кода продемонстрировало, что поддельный Skype отслеживает входящие и исходящие сообщения, чтобы увидеть, содержат ли они строки формата адреса TRX и ETH. Если они обнаружены, то автоматически заменяются вредоносными адресами, заранее заданными мошенниками.

Автор

Петр Иванов