GreedyBear’s Udvidede Operationer
Den russiske hackinggruppe GreedyBear har udvidet sine operationer i de seneste måneder og bruger 150 “våbeniserede Firefox-udvidelser” til at målrette internationale og engelsktalende ofre, ifølge forskning fra Koi Security. I en blog, hvor de offentliggør resultaterne af deres forskning, rapporterede Koi, der er baseret i USA og Israel, at gruppen har “omdefineret industrielt skala kryptotyveri” ved at bruge disse udvidelser, næsten 500 ondsindede eksekverbare filer og “dutzinder” af phishing-websteder til at stjæle over $1 million inden for de sidste fem uger.
Angrebsmetoder og Taktikker
I et interview med Decrypt sagde Koi’s CTO Idan Dardikman, at Firefox-kampagnen er “langt den mest lukrative angrebsmetode”, da den “har givet dem det meste af de $1 million, der er rapporteret af dem selv.” Denne specifikke taktik involverer at skabe falske versioner af bredt downloadede kryptovaluta-tegnebøger som MetaMask, Exodus, Rabby Wallet og TronLink.
GreedyBear-operatører bruger Extension Hollowing til at omgå sikkerhedsforanstaltningerne på markedspladserne ved først at uploade ikke-ondsindede versioner af udvidelserne, før de opdaterer apps med ondsindet kode. De poster også falske anmeldelser af udvidelserne, hvilket giver et falsk indtryk af tillid og pålidelighed. Men når de er downloadet, stjæler de ondsindede udvidelser tegnebogens legitimationsoplysninger, som derefter bruges til at stjæle kryptovaluta.
GreedyBear har ikke kun været i stand til at stjæle over $1 million på lidt over en måned ved hjælp af denne metode, men de har også betydeligt øget omfanget af deres operationer, idet en tidligere kampagne – aktiv mellem april og juli i år – kun involverede 40 udvidelser.
Phishing og Malware Distribution
Gruppens anden primære angrebsmetode involverer næsten 500 ondsindede Windows-eksekverbare filer, som de har tilføjet til russiske websteder, der distribuerer piratkopieret eller repakket software. Sådanne eksekverbare filer inkluderer legitimationsoplysninger, ransomware-software og trojanere, som Koi Security antyder indikerer “en bred malware-distributionspipeline, der er i stand til at ændre taktik efter behov.”
Gruppen har også oprettet dusinvis af phishing-websteder, der foregiver at tilbyde legitime kryptorelaterede tjenester, såsom digitale tegnebøger, hardware-enheder eller reparationstjenester til tegnebøger. GreedyBear bruger disse websteder til at lokke potentielle ofre til at indtaste personlige data og tegnebogens legitimationsoplysninger, som de derefter bruger til at stjæle midler.
“Det er værd at nævne, at Firefox-kampagnen målrettede mere globale/engelsktalende ofre, mens de ondsindede eksekverbare filer målrettede mere russisk talende ofre,” forklarer Idan Dardikman i et interview med Decrypt.
Centraliseret Kontrol og Fremtidige Operationer
På trods af variationen i angrebsmetoder og mål rapporterer Koi også, at “næsten alle” GreedyBear-angrebsdomæner linker tilbage til en enkelt IP-adresse: 185.208.156.66. Ifølge rapporten fungerer denne adresse som et centralt hub for koordinering og indsamling, hvilket gør det muligt for GreedyBear-hackerne “at strømline operationerne.”
Dardikman sagde, at en enkelt IP-adresse “betyder stram centraliseret kontrol” snarere end et distribueret netværk. “Dette antyder organiseret cyberkriminalitet snarere end statslig sponsoreret – regeringsoperationer bruger typisk distribueret infrastruktur for at undgå enkeltpunkter af fejl,” tilføjede han. “Sandsynligvis russiske kriminelle grupper, der opererer for profit, ikke statslig retning.”
Forebyggelse og Sikkerhedstips
Dardikman sagde, at GreedyBear sandsynligvis vil fortsætte sine operationer og gav flere tips til at undgå deres voksende rækkevidde. “Installer kun udvidelser fra verificerede udviklere med lange historikker,” sagde han og tilføjede, at brugere altid bør undgå piratkopierede softwarewebsteder. Han anbefalede også kun at bruge officiel tegnebogsoftware og ikke browserudvidelser, selvom han rådede til at bevæge sig væk fra softwaretegnebøger, hvis man er en seriøs langsigtet investor.
Han sagde: “Brug hardwaretegnebøger til betydelige kryptovaluta-beholdninger, men køb kun fra officielle producentwebsteder – GreedyBear opretter falske hardwaretegnebøger for at stjæle betalingsoplysninger og legitimationsoplysninger.”
