DeFi est la cible d'une application de bureau malveillante

Note de la rédaction : @qtmosesun spécialiste externe qui consulte sur les enquêtes relatives aux cryptomonnaies, a contribué à ce rapport.

‍

Que s'est-il passé ?

Sur une base continue, TRM Labs suit les acteurs de la menace impliqués dans le phishing, les exploits contractuels et l'abus de crypto-monnaies à des fins financières. Récemment, une campagne active de logiciels malveillants ciblant la finance décentraliséeDeFi par le biais d'une application de bureau malveillante a visé les utilisateurs de Mango Markets.

Mango Markets est une organisation autonome décentralisée qui propose des marges au comptant, des contrats à terme perpétuels, ainsi que des emprunts et des prêts via mango[.]markets.

Le 6 octobre 2021, des messages directs ont été envoyés aux membres du groupe Discord officiel de Mango, les invitant à se rendre à l'adresse suivante https://mangomarkets[.]net, affirmant qu'une application de bureau Mango avait été mise en ligne. Les membres de Mango qui ont reçu ce message direct n'avaient probablement pas configuré leurs paramètres de confidentialité Discord pour empêcher les messages directs des membres du serveur.

Cela pourrait ressembler au début d'une histoire familière pour les utilisateurs de crypto-monnaies habitués à lire sur les escroqueries de phishing associées aux chutes de NFT ou aux escroqueries du site web de l'application DeFi , mais heureusement, l'équipe Mango a réagi rapidement et a notifié à ses followers sur Twitter que l'application de bureau Mango était une escroquerie. Par conséquent, il semble que des dommages importants aient été évités, car personne à ce jour ne prétend avoir été victime de l'escroquerie l'application de bureau.

‍

Néanmoins, il y a beaucoup à apprendre de cette affaire :

1. @qtmoses présente ici les meilleures pratiques pour sécuriser votre compte Discord afin de lutter contre les spammeurs.

2. Le déballage du logiciel malveillant de l'application de bureau - que nous faisons ci-dessous - permettra, nous l'espérons, aux utilisateurs de crypto-monnaie de garder à l'esprit les risques et les signaux d'alarme de ce type d'escroquerie à l'avenir.

‍

Anatomie d'une fausse application de bureau

Dans ce cas, l'application d'escroquerie bureau est un programme malveillant identifié comme un cheval de Troie d'accès à distance (RAT). Les RAT permettent aux pirates de voler des informations sur les ordinateurs des victimes. Dans le cas de la fausse application de bureau Mango, le RAT pourrait conduire au vol d'informations sensibles associées aux comptes de crypto-monnaie de toute personne ayant téléchargé la fausse application.

Lorsque les victimes potentielles visitent le faux site de Mango, elles peuvent immédiatement constater que quelque chose est différent. Au lieu de trouver le bouton "Trade" habituel, l'utilisateur trouve un bouton "Download App" sur le côté droit du site. Le faux site de Mango affirme qu'une nouvelle version de l'application a été publiée et qu'elle est "rapide comme l'éclair, presque sans frais et sans autorisation". Tout ce qui est associé au faux site web de Mango est une copie conforme du site web original de Mango.

À ce jour, Mango n'a publié que son application web, et les applications de bureau créées par la communauté n'ont pas encore été lancées. Étant donné la nature soudaine de ce changement qui n'avait pas été annoncé, la plupart des utilisateurs ont pris soin de le signaler immédiatement et le canal de signalement dans Discord est rapidement devenu un cimetière de comptes de spammeurs bannis.

‍

‍

Analyse des logiciels malveillants

Les personnes assez courageuses pour télécharger la fausse application Mango se sont retrouvées avec un exécutable de 118 Mo. L'ampleur de la taille téléchargée aurait pu jouer en faveur des escrocs, car elle semble raisonnable par rapport à la taille des applications actuelles. Ce qu'ils n'ont peut-être pas compris, cependant, c'est que la base d'utilisateurs de DeFi n'est probablement pas orientée vers Windows OS, comme c'est le cas sur le marché global des OS.

‍

À ce stade, on peut en déduire qu'il s'agit d'un exécutable malveillant et, pour dissiper tout doute, un test rapide effectué à l'aide de VirusTotal a révélé que 11 (14 à l'heure où nous écrivons ces lignes) des 66 produits signalaient cet exécutable comme étant malveillant.

Lors de l'exécution de la fausse application de bureau Mango, on s'attendait à ce qu'une interface utilisateur Mango légitime avec un portefeuille malveillant vole du code ou un simple cheval de Troie. Nous avons alors vu l'activité monter en flèche et Wireshark était rempli de paquets.

Lors de l'exécution du gestionnaire de ressources de Windows, un nouveau processus de l'espace utilisateur nommé "hdscanner.exe" est apparu, avec une connexion réseau active. Lors de l'inspection du fichier, certaines métadonnées correspondaient à celles du fichier initial, dont il était désormais évident qu'il s'agissait simplement d'un programme d'installation/décompactage.

‍

L'étape suivante a consisté à filtrer les paquets dans Wireshark sur ceux du processus suspect. Dans un premier temps, il est apparu que l'application malveillante établissait une connexion TLS (transport layer security) et que tout ce qui suivait était crypté. Dans ce qui pourrait être un jour de chance pour analyser le fichier malveillant avant qu'une connexion ne soit établie, le serveur a envoyé ce qui semblait être une poignée de main et s'est identifié en texte clair comme étant le centre de commande et de contrôle de BitRAT.

‍

Le logiciel malveillant BitRAT peut être acheté sur divers forums cybercriminels ou directement sur la page de médias sociaux du créateur présumé. Une fois que le logiciel malveillant BitRAT est installé sur la machine d'un utilisateur, il a la capacité de fonctionner comme un enregistreur de frappe qui peut voler des mots de passe tout en accédant à distance à votre machine.

Si vous avez téléchargé le fichier malveillant, il est essentiel que vous preniez des mesures pour supprimer l'application de votre machine et sécuriser vos comptes cryptographiques immédiatement.

TRM Labs continue de surveiller les menaces ciblant le secteur des crypto-monnaies et fournira des mises à jour dès qu'elles seront disponibles.

‍

À propos de TRM Labs

TRM fournit une blockchain intelligence pour aider les institutions financières, les entreprises de crypto-monnaies et les organismes publics à détecter, enquêter et gérer le risque de fraude et de criminalité financière lié aux crypto-monnaies. La plateforme de gestion des risques de TRM comprend des solutions pour la surveillance des transactions et le filtrage des portefeuilles, la diligence raisonnable VASP et des outils d'enquête pour retracer les flux de fonds. TRM est le seul outil à proposer des analyses inter-chaînes, couvrant 23 blockchains et plus de 900 000 actifs.

TRM est basé à San Francisco, CA, et recrute dans les domaines de l'ingénierie, du produit, des ventes, des enquêtes et de la science des données. Pour en savoir plus, visitez le site www.trmlabs.com. Pour signaler une piste à Global Investigations, envoyez-nous un courriel à investigations@trmlabs.com.

‍