Sites que imitam Telegram e WhatsApp são usados para distribuir malware para roubo de criptomoedas

Cibercriminosos estão usando a popularidade dos aplicativos de mensagens instantâneas para aplicação de golpes. Sites imitadores de aplicativos como Telegram e WhatApp, estão sendo usados ??para distribuir versões trojanizadas e infectar usuários de Android e Windows com malware clipper de criptomoedas.

De acordo com os pesquisadores da ESET Lukáš Štefanko e Peter Strý?ek em uma nova análise, “todos eles estão atrás dos fundos de criptomoedas das vítimas, com várias carteiras de criptomoedas direcionadas”. Embora a primeira instância de malware clipper na Google Play Store remonte a 2019, o desenvolvimento marca a primeira vez que o malware clipper baseado em Android foi incorporado a aplicativos de mensagens instantâneas.

Além disso, alguns desses aplicativos usam o reconhecimento óptico de caracteres (OCR) para reconhecer o texto das capturas de tela armazenadas nos dispositivos comprometidos, o que é outra novidade para o malware do Android.

Sites imitam Telegram e WhatsApp para distribuir malware para roubo de criptomoedas

A cadeia de ataque do malware começa com usuários desavisados ??clicando em anúncios fraudulentos nos resultados de pesquisa do Google que levam a centenas de canais incompletos do YouTube, que os direcionam para sites parecidos com Telegram e WhatsApp.

O que há de novo no último lote de malware clipper é que ele é capaz de interceptar os bate-papos da vítima e substituir qualquer endereço de carteira de criptomoeda enviado e recebido por endereços controlados pelos agentes da ameaça. Outro cluster de malware clipper faz uso de OCR para encontrar e roubar frases-semente, aproveitando um plug-in legítimo de aprendizado de máquina chamado ML Kit no Android, tornando assim possível esvaziar as carteiras.