DeFi , objetivo de una aplicación de escritorio maliciosa

Nota del editor: @qtmosesespecialista externo que asesora sobre investigaciones criptográficas, ha contribuido a este informe.

‍

¿Qué ha pasado?

De forma continua, TRM Labs rastrea a los actores de amenazas implicados en phishing, exploits de contratos y abuso de criptomonedas con fines financieros. Recientemente, una campaña de malware activa dirigida a las finanzas descentralizadasDeFi) a través de una aplicación de escritorio maliciosa atacó a los usuarios de Mango Markets.

Mango Markets es una organización autónoma descentralizada que ofrece Margen Spot, Futuros Perpetuos y Préstamos a través de mango[.]markets.

El 6 de octubre de 2021, se enviaron mensajes directos a los miembros del grupo oficial de Discord de Mango en los que se les instaba a navegar hasta https://mangomarkets[net, afirmando que se había lanzado una aplicación de escritorio de Mango. Los miembros de Mango que recibieron este mensaje directo probablemente no tenían configurada la privacidad de Discord para evitar los mensajes directos de los miembros del servidor.

Esto podría sonar como el comienzo de una historia familiar para los usuarios de criptomonedas acostumbrados a leer sobre estafas de phishing asociadas con caídas de NFT o estafas de sitios web de aplicaciones DeFi , pero afortunadamente, el equipo de Mango actuó rápidamente y notificó a sus seguidores de Twitter que la aplicación de escritorio de Mango era una estafa. Como resultado, parece que se evitaron daños mayores, ya que hasta la fecha nadie afirma haber sido víctima de la estafa de la aplicación de escritorio.

‍

Aun así, hay mucho que aprender de este caso:

1. @qtmoses expone aquí las mejores prácticas para proteger tu cuenta de Discord y luchar contra los spammers.

2. Desempaquetar el malware de la aplicación de escritorio - lo que hacemos a continuación - esperamos que mantenga a los usuarios de criptomonedas conscientes de los riesgos y señales de alerta para este tipo de estafa en el futuro.

‍

Anatomía de una falsa aplicación de escritorio

En este caso, la aplicación fraudulenta de escritorio es un programa malicioso identificado como troyano de acceso remoto (RAT). Las RAT permiten a los hackers robar información de los ordenadores de las víctimas. En el caso de la falsa aplicación de escritorio Mango, el RAT podría conducir al robo de información sensible asociada a cuentas de criptomoneda de cualquiera que haya descargado la aplicación falsa.

Cuando las víctimas potenciales visitan el sitio falso de Mango, se dan cuenta inmediatamente de que algo es diferente. En lugar de encontrar el habitual botón "Comercio", el usuario encuentra un botón "Descargar aplicación" en la parte derecha del sitio web. El sitio web falso de Mango afirma que se ha lanzado una nueva versión de la aplicación que es "rapidísima, casi sin comisiones y sin permisos". Todo lo demás relacionado con el sitio web falso de Mango es un calco del sitio web original de Mango.

Hasta la fecha, Mango sólo ha lanzado su aplicación web, y las aplicaciones de escritorio creadas por la comunidad aún no se han puesto en marcha. Dada la naturaleza repentina de este cambio no anunciado previamente, la mayoría de los usuarios tuvieron cuidado de informar de ello inmediatamente y el canal de informes en Discord pronto se convirtió en un cementerio con cuentas de spam baneadas.

‍

‍

Análisis de malware

Los valientes que descargaron la falsa aplicación Mango se encontraron con un ejecutable de 118 MB. El tamaño de la descarga podría haber jugado a favor de los estafadores, ya que parece razonable para el tamaño de las aplicaciones actuales. Sin embargo, lo que podrían haber pasado por alto es que es poco probable que la base de usuarios DeFi se incline hacia el sistema operativo Windows como el mercado mundial de sistemas operativos.

‍

En ese momento se podía deducir que se trataba de un ejecutable malicioso y, para disipar cualquier duda, una prueba rápida con VirusTotal arrojó que 11 (14 en el momento de escribir esto) de 66 productos marcaban este ejecutable como malicioso.

Al ejecutar la falsa aplicación de escritorio de Mango, era de esperar que, o bien una interfaz de usuario legítima de Mango con una cartera maliciosa estuviera robando código, o bien un troyano cualquiera. Entonces vimos que la actividad se disparaba y Wireshark se llenaba de paquetes.

Al ejecutar el Administrador de Recursos de Windows, había un nuevo proceso en el espacio de usuario llamado "hdscanner.exe" con una conexión de red activa. Al inspeccionar el archivo, algunos de los metadatos coincidían con los del archivo inicial, que ahora era obvio que era sólo un instalador/desinstalador.

‍

El siguiente paso fue filtrar los paquetes en Wireshark a los del proceso sospechoso. Al principio, se podía ver que la aplicación maliciosa establecía una conexión de seguridad de la capa de transporte (TLS) y todo lo que venía después estaba cifrado. En lo que potencialmente fue un día de suerte para analizar el archivo malicioso antes de que se estableciera una conexión, el servidor envió lo que parecía un apretón de manos y se identificó en texto plano como el centro de mando y control de BitRAT.

‍

El malware BitRAT puede adquirirse en varios foros de ciberdelincuentes o directamente en la página de redes sociales del supuesto creador. Una vez que el malware BitRAT se instala en la máquina de un usuario, puede funcionar como un keylogger que roba contraseñas mientras accede remotamente a su máquina.

Si ha descargado el archivo malicioso, es fundamental que tome medidas para eliminar la aplicación de su equipo y proteger sus cuentas de criptomonedas inmediatamente.

TRM Labs sigue vigilando las amenazas dirigidas a la industria de la criptomoneda y proporcionará actualizaciones a medida que estén disponibles.

‍

Acerca de TRM Labs

TRM proporciona Inteligencia en Blockchain para ayudar a las instituciones financieras, las empresas de criptomoneda y los organismos públicos a detectar, investigar y gestionar el riesgo de fraude y delitos financieros relacionados con las criptomonedas. La plataforma de gestión de riesgos de TRM incluye soluciones para la monitorización de transacciones y detección de carteras, diligencia debida VASP y herramientas de investigación para rastrear el flujo de fondos. TRM es la única herramienta con análisis de cadenas cruzadas, proporcionando cobertura a través de 23 cadenas de bloques y más de 900.000 activos.

TRM tiene su sede en San Francisco, California, y está contratando personal en ingeniería, productos, ventas, investigación y ciencia de datos. Para obtener más información, visite www.trmlabs.com. Para informar de una pista a Global Investigations, envíenos un correo electrónico a investigations@trmlabs.com.

‍