I truffatori di criptovalute utilizzano il falso malware Zoom per rubare fondi

Un nuovo cripto-malware prende di mira gli utenti della piattaforma di videoconferenza Zoom basata su cloud. Il malware reindirizza gli utenti a un sito Web dannoso per rubare le loro risorse crittografiche.

Individuato dall’ingegnere della sicurezza informatica “NFT_Dreww” il 22 luglio, il sito Web dannoso imita fedelmente il collegamento originale della videochiamata Zoom.

Si comincia con l’ingegneria sociale

L’attacco inizia inizialmente con il truffatore che si avvicina alla vittima e cerca di convincerla con l’inganno a partecipare a una videochiamata. NFT_Dreww afferma che le tattiche comuni prevedono che l’aggressore offra opportunità di angel investing o chieda alla vittima di unirsi come ospite su X spazi.

I profili X dei truffatori sono progettati per farli sembrare dei partecipanti medi al mercato delle criptovalute. Per sembrare legittimi, spesso adornanole immagini del profilo NFT e affermano di essere correlati a vari progetti.

La truffa funziona creando URL Zoom falsi come *.us50web[.]us, che sembrano simili a quelli legittimi come usXXweb.zoom[.]us. Includono ID riunione e password reali negli URL falsi per farli sembrare autentici.

NFT_Dreww ha sottolineato che il “-” nell’URL fa parte del dominio di primo livello, non di un sottodominio, il che inganna molti utenti.

Differenza tra dominio Zoom originale e dominio dannoso. Fonte: NFT_Dreww su X

Se un utente accetta di unirsi, gli aggressori insistono per utilizzare solo Zoom, sostenendo che la loro squadra è già reperibile.

Come funziona

Una volta fatto clic sul collegamento, l’utente viene reindirizzato a una pagina Zoom dannosa ma dall’aspetto identico con una schermata di caricamento che sembra bloccata.

Lì, viene avviato il download di un file denominato “ZoomInstallerFull.exe” e all’utente viene chiesto di installare il file. Il processo di installazione sembra autentico, mostrando anche una pagina di termini e condizioni.

Una volta installato, l’utente viene rimandato alla schermata di caricamento dannosa, che quindi reindirizza gli utenti a un URL Zoom legittimo. Nel frattempo il malware è già stato installato sul sistema della vittima.

Inizialmente il malware si aggiunge alla “lista di esclusione di Windows Defender”, impedendo così al software di sicurezza di bloccarlo. Successivamente, estrae le informazioni dell’utente dal sistema. L’intero processo viene eseguito mentre l’utente è bloccato nella falsa pagina di caricamento Zoom.

Secondo l’esperto di sicurezza, la truffa ha già prosciugato fondi per oltre 300.000 dollari da diversi utenti. Ha esortato gli utenti a prestare attenzione quando fanno clic sui collegamenti ricevuti sui social media e ad evitare di scaricare qualsiasi software.

Le truffe di ingegneria sociale diventano più sofisticate man mano che il settore delle criptovalute continua a svilupparsi. Il 2 luglio, i truffatori hanno violato l’indirizzo e-mail ufficiale della Ethereum Foundation e hanno inviato e-mail di phishing a più di 35.000 utenti.

Truffe di questo tipo hanno portato al furto di asset in criptovaluta dalle catene EVM per un valore di oltre 300 milioni di dollari solo nella prima metà del 2024.