يستخدم محتالو العملات المشفرة برنامج Zoom المزيف لسرقة الأموال

يستهدف برنامج ضار جديد للتشفير مستخدمي منصة مؤتمرات الفيديو السحابية Zoom. تقوم البرامج الضارة بإعادة توجيه المستخدمين إلى موقع ويب ضار لسرقة أصول التشفير الخاصة بهم.

هل تبحث عن إشارات وتنبيهات من متداولين محترفين؟ اشترك في Invezz Signals™ مجانًا. يستغرق 2 دقيقة.

اكتشف مهندس الأمن السيبراني “NFT_Dreww” في 22 يوليو، أن موقع الويب الضار يحاكي بشكل وثيق رابط مكالمة الفيديو Zoom الأصلي.

⛔Would you have caught this malicious Zoom link?..⛔

Scammers are getting extremely sophisticated, and have evolved their tactics to impersonate zoom which, if downloaded, takes everything from your device… Over $300K stolen so far…

Let's dive into how this happens ⤵️⤵️… pic.twitter.com/sb1xfOE0tf

— NFT_Dreww.eth (@nft_dreww) July 22, 2024

يبدأ بالهندسة الاجتماعية

Copy link to section

يبدأ الهجوم في البداية عندما يقترب المحتال من الضحية ويحاول خداعها للانضمام إلى مكالمة فيديو. يقول NFT_Dreww إن التكتيكات الشائعة تتضمن قيام المهاجم بعرض فرص الاستثمار الملائكي أو مطالبة الضحية بالانضمام كضيف على مساحات X.

تم تصميم ملفات تعريف X الخاصة بالمحتالين لجعلهم يبدون وكأنهم مشاركين عاديين في سوق العملات المشفرة. لكي يبدوا شرعيين، غالبًا ما يقومون بتزيينصور الملف الشخصي لـ NFT ويزعمون أنهم مرتبطون بمشاريع مختلفة.

تعمل عملية الاحتيال عن طريق إنشاء عناوين URL مزيفة لبرنامج Zoom مثل *.us50web[.]us، والتي تبدو مشابهة للعناوين الشرعية مثل usXXweb.zoom[.]us. وهي تتضمن معرفات اجتماعات حقيقية وكلمات مرور في عناوين URL المزيفة لجعلها تبدو أصلية.

وشدد NFT_Dreww على أن “-” في عنوان URL هو جزء من نطاق المستوى الأعلى، وليس نطاقًا فرعيًا، مما يضلل العديد من المستخدمين.

الفرق بين نطاق Zoom الأصلي والمجال الضار. المصدر: NFT_Dreww على X

إذا وافق المستخدم على الانضمام، يصر المهاجمون على استخدام Zoom فقط، مدعين أن فريقهم تحت الطلب بالفعل.

كيف تعمل

Copy link to section

بمجرد النقر على الرابط، تتم إعادة توجيه المستخدم إلى صفحة Zoom ضارة ولكنها متطابقة المظهر مع شاشة تحميل تبدو عالقة.

هناك، يتم تشغيل تنزيل لملف يسمى “ZoomInstallerFull.exe”، ويطلب من المستخدم تثبيت الملف. تبدو عملية التثبيت حقيقية، حتى أنها تظهر صفحة الشروط والأحكام.

عند التثبيت، يتم إرسال المستخدم مرة أخرى إلى شاشة التحميل الضارة، والتي تقوم بعد ذلك بإعادة توجيه المستخدمين إلى عنوان URL شرعي لـ Zoom. وفي الوقت نفسه، تم بالفعل تثبيت البرنامج الضار على نظام الضحية.

في البداية، تضيف البرامج الضارة نفسها إلى “قائمة استثناءات Windows Defender”، مما يمنع برنامج الأمان من حظرها. وبعد ذلك، يقوم باستخراج معلومات المستخدم من النظام. يتم تنفيذ العملية بأكملها بينما يكون المستخدم عالقًا في صفحة تحميل Zoom المزيفة.

وفقًا للخبير الأمني، فقد استنزفت عملية الاحتيال بالفعل أموالًا تزيد قيمتها عن 300000 دولار من العديد من المستخدمين. وحث المستخدمين على توخي الحذر عند النقر على الروابط الواردة على وسائل التواصل الاجتماعي وتجنب تنزيل أي برنامج.

أصبحت عمليات الاحتيال المتعلقة بالهندسة الاجتماعية أكثر تعقيدًا مع استمرار تطور قطاع العملات المشفرة. في الثاني من يوليو، اخترق المحتالون عنوان البريد الإلكتروني الرسمي لمؤسسة إيثريوم وأرسلوا رسائل بريد إلكتروني تصيدية إلى أكثر من 35000 مستخدم.

أدت عمليات الاحتيال من هذا النوع إلى سرقة أصول العملات المشفرة بقيمة تزيد عن 300 مليون دولار من سلاسل EVM في النصف الأول من عام 2024 وحده.