【剪貼板危機】惡意軟件嵌入Telegram 針對中文用戶竊取加密貨幣

    受歡迎或多人使用的網站及應用程式,經常被不法分子利用其原形,推出山寨版本欺騙大眾。近日,即時通訊應用程式 Telegram 和 WhatApp 便出現假網站,用來散播剪貼板惡意軟件,專家指出攻擊更是針對中文用戶及加密貨幣。

    Google Play 早在 2019 年已首次出現剪貼板惡意軟件,但今次發現的 Android 剪貼板惡意軟件,有兩個首次發現的特點:第一:能嵌入即時通訊應用程式內;第二:會使用光學字符識別(OCR),來識別儲存在被感染設備上的截圖文本。

    ESET研究人員 Lukáš Štefanko 和 Peter Strýček 在分析報告中表示,所有攻擊都是針對受害者的加密貨幣資金,部分以加密貨幣錢包為目標。

    其攻擊鏈的起動,由用戶點擊 Google 搜索結果上的詐騙廣告而開始。YouTube 上有數百個可疑頻道,當用戶經 Google 進入時,這些頻道會將他們指向假冒 Telegram 和 WhatsApp 的山寨網站,再透過剪貼板惡意軟件發動不同攻擊,大致可分成四組方法:

    1.攔截受害者的聊天信息,並將原本發送和接收的加密貨幣錢包地址,替換成網絡威脅者所控制的地址。

    2.利用 OCR 來尋找和竊取加密貨幣錢包的 seed phrase,其方法是利用 Android 上的一個合法機器學習插件 ML Kit,進而清空受害者的錢包。

    3.監控 Telegram 中對包含與加密貨幣有關的中文關鍵詞的對話,包括硬編碼和從伺服器接收到的詞語;如果符合其關鍵詞,就會將完整訊息與用戶名、群組或頻道名稱,一同外洩到遠程伺服器。

    4.具有切換錢包地址、收集設備訊息和 Telegram 數據(如訊息和聯絡人)的功能。

    以下是可疑的 Android APK 包名:
    org.telegram.messenger
    org.telegram.messenger.web2
    org.tgplus.messenger
    io.busniess.va.whatsapp
    com.whatsapp

    ESET 表示,他們還發現了兩個基於 Windows 的集群,其中一個是針對交換錢包地址,另一個則為分發遠程訪問木馬(RAT),以取得對受感染主機的控制,繼而進行加密貨幣盜竊。值得留意的是,儘管攻擊手法相同,但它們可能是由不同的網絡威脅者所開發的。

    如同去年曝光、類似的惡意網絡攻擊一樣,這類攻擊以針對使用中文的用戶為主,其主因是 Telegram 和 WhatsApp 在中國被封鎖。研究人員指出,想使用這些服務卻被封鎖的人,必須間接地獲取使用權,為網絡犯罪分子提供了豐富的入侵機會。

    資料來源:https://thehackernews.com/2023/03/lookalike-telegram-and-whatsapp.html?m=1

    相關文章:【區塊鏈遊戲】P2E騙案急升 一夜清空電子錢包資產

    #CyberAttack #CyberSecurity #WhatsApp #加密貨幣 #網絡保安 #網絡攻擊

    相關文章