Người dùng Ledger Live Mac có nguy cơ: Kẻ tấn công nâng cấp chiến thuật để đánh cắp cụm từ hạt giống và làm trống ví tiền điện tử

Ứng dụng Ledger giả mạo nhắm vào người dùng macOS bằng phần mềm độc hại đánh cắp cụm từ hạt giống mới

Người dùng máy Mac quản lý tiền điện tử thông qua Ledger Live đang phải đối mặt với làn sóng tấn công phần mềm độc hại ngày càng gia tăng nhằm đánh cắp cụm từ khôi phục ví và làm trống tài khoản của họ.

Các chuyên gia an ninh mạng từ Moonlock đã phát hiện ra các phiên bản giả mạo tinh vi của ứng dụng Ledger Live đang được cung cấp cho những người dùng nhẹ dạ cả tin, lừa họ tiết lộ cụm từ hạt giống gồm 24 từ - chìa khóa chính để truy cập vào tài sản tiền điện tử của họ.

Tin tặc đang thay thế ứng dụng Ledger Live chính hãng như thế nào

Cuộc tấn công bắt đầu khi một phần mềm độc hại có tên Atomic macOS Stealer lây nhiễm vào thiết bị của người dùng, thường thông qua các trang web bị xâm nhập—Moonlock đã tìm thấy phần mềm này trên ít nhất 2.800 trang web bị tấn công.

Phần mềm độc hại này âm thầm thay thế ứng dụng Ledger Live thật bằng ứng dụng giả mạo.

Sau đó, ứng dụng giả mạo sẽ hiển thị các cảnh báo thuyết phục, nhắc nhở người dùng nhập cụm từ khôi phục để giải quyết các vấn đề bảo mật được cho là có thật.

Nguồn: Phòng thí nghiệm Moonlock

Moonlock giải thích,

“Ứng dụng giả sau đó sẽ hiển thị cảnh báo thuyết phục về hoạt động đáng ngờ, nhắc nhở người dùng nhập cụm từ hạt giống của họ. Sau khi nhập, cụm từ hạt giống sẽ được gửi đến máy chủ do kẻ tấn công kiểm soát, làm lộ tài sản của người dùng trong vài giây.”

Từ việc đánh cắp thông tin chi tiết đến việc rút sạch ví tiền—Các chiến thuật ngày càng gia tăng

Moonlock đã theo dõi những bản sao độc hại này kể từ tháng 8 năm 2024.

Ban đầu, các ứng dụng giả mạo chỉ có thể thu thập thông tin chi tiết về ví và mật khẩu, giúp tội phạm có thể biết được số tiền mà nạn nhân nắm giữ nhưng không thể truy cập trực tiếp để chuyển tiền.

Theo thời gian, kẻ tấn công đã nâng cấp chiến thuật của mình để tập trung vào việc đánh cắp cụm từ hạt giống, cho phép chúng kiểm soát hoàn toàn và rút tiền trong ví.

Moonlock lưu ý,

“Đây không chỉ là một vụ trộm. Đây là một nỗ lực liều lĩnh để qua mặt một trong những công cụ đáng tin cậy nhất trong thế giới tiền điện tử. Và những tên trộm không hề lùi bước.”

Các biến thể mới và các cuộc tấn công bắt chước đang xuất hiện

Vào tháng 3, Moonlock đã phát hiện ra một loại phần mềm độc hại macOS mới có tên là ‘Odyssey,’ được triển khai bởi một tin tặc có biệt danh ‘Rodrigo.’

Odyssey đã thay thế ứng dụng Ledger Live bằng phiên bản trojan có tích hợp trang lừa đảo, yêu cầu nạn nhân nhập cụm từ hạt giống gồm 24 từ sau khi hiển thị thông báo "lỗi nghiêm trọng" giả mạo.

Thông báo “lỗi nghiêm trọng” giả mạo. (Nguồn:Phòng thí nghiệm Moonlock )

Người dùng được nhắc nhập cụm từ hạt giống gồm 24 từ của họ (Nguồn:Phòng thí nghiệm Moonlock )

Hiệu quả của phương pháp này đã truyền cảm hứng cho nhiều người bắt chước.

Ngay sau đó, kẻ đánh cắp AMOS xuất hiện với các tính năng tương tự, phát tán phần mềm độc hại thông qua tệp DMG có tên ‘JandiInstaller.dmg’ vượt qua được tính năng bảo mật Gatekeeper của Apple.

Nạn nhân nhập cụm từ hạt giống vào bản sao AMOS sẽ thấy cảnh báo lừa đảo “Ứng dụng bị hỏng”, cho phép kẻ tấn công âm thầm trích xuất tài sản.

Một chiến dịch khác được Jamf phát hiện sử dụng cách tiếp cận khác, nhúng một trang lừa đảo qua iframe bên trong giao diện Ledger Live giả mạo, nhắm mục tiêu vào dữ liệu trình duyệt và cấu hình ví cùng với hành vi đánh cắp cụm từ hạt giống.

Không bao giờ nhập cụm từ hạt giống của bạn trực tuyến

Không bao giờ nên nhập cụm từ khôi phục vào ứng dụng hoặc trang web.

Chúng được thiết kế để lưu trữ ngoại tuyến và chỉ được sử dụng trực tiếp trên các thiết bị Ledger vật lý khi khôi phục hoặc thiết lập ví.

Moonlock khuyến cáo người dùng tránh tải xuống Ledger Live từ các nguồn không chính thức và cảnh giác với bất kỳ ứng dụng hoặc cửa sổ bật lên nào yêu cầu cụm từ hạt giống.

Những nỗ lực của Microsoft chống lại các mối đe dọa tương tự

Trong một động thái liên quan đến phần mềm độc hại mã hóa,Microsoft thông báo vào ngày 21 tháng 5 rằng họ đã gỡ bỏ cơ sở hạ tầng liên quan đến Lumma Stealer , một hoạt động phần mềm độc hại có chức năng đánh cắp mật khẩu, thông tin ngân hàng và thông tin đăng nhập mã hóa.

Công ty đã hợp tác với cơ quan thực thi pháp luật quốc tế để thu giữ gần 2.300 trang web có liên kết đến mạng lưới của Lumma, ngăn chặn việc bán và phát tán phần mềm độc hại.

Mối đe dọa ngày càng tăng từ phần mềm độc hại Dark Web

Mặc dù một số phần mềm độc hại có tính năng được gọi là "chống Ledger" được quảng cáo trên các diễn đàn web đen, nghiên cứu của Moonlock chỉ ra rằng nhiều phần mềm vẫn chưa hoàn thiện hoặc đang trong quá trình phát triển.

Tuy nhiên, các nhóm tội phạm vẫn tiếp tục cải tiến chiến thuật, làm gia tăng mối đe dọa đối với người dùng sử dụng Ledger Live.

Moonlock cảnh báo:

“Trên các diễn đàn dark web, những cuộc trò chuyện về các chương trình chống Ledger đang gia tăng. Làn sóng tiếp theo đã bắt đầu hình thành. Tin tặc sẽ tiếp tục khai thác lòng tin mà chủ sở hữu tiền điện tử đặt vào Ledger Live.”

Luôn cảnh giác, chỉ sử dụng các bản tải xuống Ledger Live chính thức và không bao giờ chia sẻ cụm từ hạt giống vẫn là yếu tố quan trọng để bảo vệ tài sản tiền điện tử trong môi trường thù địch này.