Хакери навчилися викрадати криптовалюту через сесії Telegram без злому пароля

Дослідники виявили шкідливе програмне забезпечення, яке збирає cook­ie-файли Safari, нотатки Apple та дані браузерних розширень, після чого використовує викрадені паролі для доступу до криптогаманців і крадіжки сід-фраз. Особливість цього вірусу в тому, що він не обмежується простим перехопленням паролів, а збирає весь масив даних, достатній для повного захоплення облікового запису жертви.

Криптоінвестори нерідко зберігають на одному пристрої браузерні та десктопні гаманці, застосунки для апаратних гаманців, нотатки з підказками до сід-фраз і активні сесії месенджерів. Після зараження такого пристрою зловмисники зіставляють усі ці дані й отримують повний доступ до цифрових активів.

Одна з найнебезпечніших функцій шкідника — копіювання активних сесій Telegram. Маючи ці дані, хакери відновлюють сесію на іншому пристрої Mac без введення номера телефону, коду підтвердження чи пароля двофакторної автентифікації. Двофакторний захист у такому разі стає марним, адже зловмисник використовує вже довірену локальну сесію. Отримавши доступ до акаунту, хакери можуть читати листування, видавати себе за жертву та поширювати шкідливі посилання серед її контактів.

Програма цілеспрямовано атакує гаманці Exo­dus, Atom­ic, Elec­trum, Wasabi і Mon­ero, а також застосунки апаратних гаманців Ledger Live і Tre­zor Suite. Крім того, вона шукає дані гаманців у клієнтах з повними вузлами: Bit­coin Core, Lite­coin Core, Dash Core та Doge­coin Core. Після викрадення файлів зловмисники можуть розшифровувати їх у офлайн-режимі, використовуючи паролі з ураженого пристрою, тобто злам не обов’язково відбувається миттєво.

Окремо шкідливе ПО здатне підміняти оригінальні застосунки Ledger і Tre­zor підробленими версіями. Користувач, не підозрюючи нічого, вводить у фейковий інтерфейс свою сід-фразу, після чого зловмисники отримують повний контроль над активами — без жодного технічного злому апаратного гаманця.

Фахівці з кібербезпеки рекомендують тим, хто підозрює зараження, негайно завершити всі активні сесії в Telegram, встановити новий логін і змінити пароль двофакторної автентифікації. Нову сід-фразу слід генерувати виключно на чистому пристрої, а криптоактиви переводити на адреси, які не створювалися на скомпрометованому апараті. Зберігати паролі від криптоплатформ і особисте листування на одному пристрої категорично не рекомендується.

Тим часом фахівці також повідомили про виявлення шкідливої програми OkoBot, яка викрадає облікові дані та сід-фрази криптогаманців. За їхніми даними, OkoBot впроваджується в застосунки Tre­zor Suite, Ledger Wal­let і Ledger Live — тобто атаки на користувачів апаратних гаманців набувають дедалі більшого масштабу.