Los atacantes aprovechan los temas populares para atraer a las víctimas con páginas web falsas que imitan el diseño y la interfaz de varios servicios legítimos.

2 de octubre de 2024

Kaspersky ha detectado una campaña de fraude online, denominada ‘Tusk’, dirigida al robo de criptomonedas e información sensible, aprovechando temas populares como web3, criptomonedas, IA, juegos online, entre otros. Este esquema está dirigido a personas de todo el mundo para propagar malware de robo de información y clippers.

El Equipo Global de Respuesta a Emergencias de Kaspersky (GERT) ha detectado una campaña de fraude dirigida a usuarios de Windows y macOS en todo el mundo, con el objetivo de robar criptomonedas e información personal. Los atacantes se aprovechan de temas populares para atraer a las víctimas con páginas web falsas que imitan de cerca el diseño y la interfaz de varios servicios legítimos. En casos recientes, han imitado una plataforma de criptomonedas, un juego de rol online y un traductor de IA. Aunque existen pequeñas diferencias en los elementos de las páginas maliciosas, como el nombre y la URL, parecen pulidos y sofisticados, lo que aumenta la probabilidad de un ataque exitoso.

Páginas web falsas creadas como parte de Tusk, que imitan servicios legítimos de criptomonedas e IA y un juego online

El objetivo de estos sitios es incitar a las víctimas para que interactúen con estas falsas configuraciones a través de phishing. Las páginas web están diseñadas para engañar a las personas y hacer que revelen información sensible, como las contraseñas privadas de sus carteras de criptomonedas, o para descargar malware. A continuación, los atacantes pueden conectarse a las cryptowallets de las víctimas a través del sitio falso y vaciar sus fondos o robar diversas credenciales, detalles más específicos y otra información con el malware de robo de información.

“La correlación entre diferentes partes de esta campaña y su infraestructura compartida sugiere una operación bien organizada, posiblemente vinculada a un solo actor o grupo con motivos financieros específicos. Además de las tres subcampañas dirigidas a temas de criptomonedas, IA y juegos, nuestro Threat Intelligence Portal ha ayudado a identificar infraestructura para otros 16 temas, ya sean subcampañas anteriores, retiradas, o nuevas que aún no se han lanzado. Esto demuestra la capacidad del actor de amenazas para adaptarse rápidamente a temas de tendencia y desplegar nuevas operaciones maliciosas en respuesta. También subraya la necesidad crítica de soluciones de seguridad sólidas y una mayor alfabetización en ciberseguridad para protegerse contra amenazas en evolución”, asegura Eduardo Chavarro, gerente para Américas del Equipo de Investigación Global de Respuesta a Incidentes en Kaspersky.

Kaspersky descubrió cadenas en el código malicioso enviado a los servidores de los atacantes en ruso. La palabra “Mammoth” (rus. “Мамонт”), una jerga utilizada por los actores de amenazas de habla rusa para referirse a una “víctima”, apareció tanto en las comunicaciones del servidor como en los archivos de descarga de malware. Kaspersky denominó la campaña ‘Tusk’ para enfatizar su enfoque en el lucro financiero, haciendo una analogía con los mamuts cazados por sus valiosos colmillos.

La campaña está propagando malware de robo de información como Danabot y Stealc, así como clippers, como una variante de código abierto escrita en Go (el malware varía según el tema dentro de la campaña). Los infostealers están diseñados para robar información sensible como credenciales, mientras que los clippers monitorizan los datos del portapapeles. Si se copia una dirección de monedero de criptomonedas al portapapeles, el clipper la sustituye por una dirección maliciosa.

Los archivos del cargador de malware están alojados en Dropbox. Una vez que las víctimas los descargan, se encuentran con interfaces fáciles de usar que sirven como coberturas para el malware, lo que les solicita que inicien sesión, se registren o simplemente permanezcan en una página estática. Mientras tanto, los archivos maliciosos restantes y las cargas útiles se descargan e instalan automáticamente en su sistema.