Хакеры нашли новый способ красть данные от криптокошельков через Телеграм

Специалисты по блокчейн-безопасности компании SlowMist обнаружили новое вредоносное ПО для операционной системы macOS, которое умеет перехватывать сессии Telegram Desktop в обход двухфакторной идентификации (2FA).

Хакеры собирают данные, связанные с cookie-файлами Safari, заметками Apple и расширениями браузера, а затем используют украденные с зараженных устройств пароли для доступа к криптокошелькам и кражи сид-фраз.

Вредоносная программа опасна тем, что выходит за рамки обычной кражи паролей и собирает все возможные данные, с помощью которых хакеры могут захватить учетную запись пользователя, а затем получить доступ к криптоактивам. Криптоинвесторы часто хранят браузерные и десктопные кошельки, приложения для аппаратных кошельков, заметки с подсказками для сид-фраз и активные сессии мессенджеров на одном устройстве. После заражения такого устройства злоумышленники могут сопоставить все эти данные и подобрать доступ к активам.

Копируя данные активных сессий Телеграм, хакеры восстанавливают сессию на другом устройстве Mac без ввода номера телефона, кода подтверждения или пароля двухфакторной идентификации (2FA). 2FA становится бесполезной, поскольку злоумышленники использует уже доверенную локальную сессию, а не заходят заново. Это создает особый риск для криптотрейдеров, поскольку те активно используют Телеграм для общения в разнообразных сообществах. Получив доступ к аккаунту Telegram, хакеры могут читать переписку, выдавать себя за жертву, получать информацию о владении криптоактивами и распространять вредоносные ссылки через взломанный аккаунт.

Вредоносная программа нацелена на кошельки Exodus, Atomic, Electrum, Wasabi и Monero а также на приложения аппаратных кошельков Ledger Live и Trezor Suite. Программа также ищет данные кошельков, хранящиеся в клиентах с полными узлами, включая Bitcoin Core, Litecoin Core, Dash Core и Dogecoin Core. После кражи данных злоумышленники могут попытаться расшифровать их в автономном режиме, используя пароли, полученные с зараженного устройства. То есть хакеру не обязательно сразу взламывать кошелек на компьютере жертвы — он может переместить украденные файлы в другое место и подобрать пароли позже.

Зараженное ПО также способно заменять приложения Ledger и Trezor поддельными версиями, где пользователи могут ввести свои сид-фразы. После подобного злоумышленники перехватывают контроль над чужими криптоактивами без технического взлома аппаратного кошелька, уточнили представители SlowMist.

Людям, подозревающим, что они могут стать жертвами подобной атаки, специалисты по безопасности рекомендовали завершить действующие сеансы в Телеграме, установить новый логин, а также изменить пароль для двухфакторной аутентификации. Новую сид-фразу рекомендовано генерировать только на чистом устройстве, а активы — переводить на новые адреса, которые не создавались на скомпрометированном устройстве. Пароли для доступа к криптоплатформам и личные переписки не стоит хранить на одном устройстве.

Недавно специалисты по кибербезопасности компании Kaspersky рассказали о новой вредоносной программе OkoBot, крадущей учетные данные и сид-фразы криптовалютных кошельков. Программа внедряется в аппаратные кошельки Trezor Suite, Ledger Wallet и Ledger Live.

Источник