เหตุการณ์ฟิชชิ่งปลอมในการประชุม Zoom เกิดขึ้นบ่อยครั้ง จะมั่นใจได้อย่างไรว่าเงินทุนปลอดภัย?

ชื่อต้นฉบับ: "เห็นแล้วไม่เชื่อ | การวิเคราะห์ฟิชชิ่งการประชุม Zoom ปลอม"

ที่มา: SlowMist Technology

หมายเหตุบรรณาธิการ: เมื่อเร็ว ๆ นี้ ตลาดคริปโตพบเห็นเหตุการณ์ฟิชชิ่งที่ใช้ลิงก์การประชุม Zoom ปลอมเกิดขึ้นอีกครั้ง เริ่มจาก Kuan Sun ผู้ก่อตั้ง EurekaTrading เข้าใจผิดว่าเป็นคำเชิญประชุมปลอม และติดตั้งปลั๊กอินอันตราย ส่งผลให้เกิดการโจมตีแบบฟิชชิ่งมูลค่า 13 ล้านดอลลาร์ โชคดีที่ Venus Protocol ได้ระงับการดำเนินงานอย่างเร่งด่วน และด้วยความช่วยเหลือจากทีมรักษาความปลอดภัยหลายทีม เงินจำนวนดังกล่าวจึงถูกกู้คืนได้สำเร็จ

เมื่อวันที่ 8 กันยายน Alexander Choi ผู้ก่อตั้ง Fortune Collective ชุมชนซื้อขายคริปโต ได้เผยแพร่โพสต์ที่เปิดเผยว่าเขาได้ติดต่อกับโปรเจกต์ปลอมผ่านข้อความส่วนตัวบนแพลตฟอร์ม X ระหว่างการสนทนา เขาเผลอคลิกลิงก์ปลอมที่ปลอมแปลงเป็นลิงก์การประชุม ส่งผลให้สูญเสียเงินเกือบ 1 ล้านดอลลาร์

เหตุใดการโจมตีแบบฟิชชิงผ่านการประชุม Zoom ปลอมจึงประสบความสำเร็จ? นักลงทุนจะหลีกเลี่ยงได้อย่างไร? SlowMist บริษัทรักษาความปลอดภัยชื่อดังในวงการ ได้เผยแพร่บทความนี้เมื่อวันที่ 27 ธันวาคม 2024 เพื่อเตือนให้ทุกคนปกป้องเงินทุนของตน ข้อความต้นฉบับมีดังนี้:

ข้อมูลเบื้องต้น

เมื่อเร็วๆ นี้ ผู้ใช้ X หลายรายรายงานการโจมตีแบบฟิชชิงที่ปลอมแปลงเป็นลิงก์การประชุม Zoom เหยื่อรายหนึ่งติดตั้งมัลแวร์หลังจากคลิกลิงก์การประชุม Zoom ที่เป็นอันตราย ส่งผลให้สินทรัพย์ดิจิทัลถูกขโมย มูลค่าความเสียหายสูงถึงหลายล้านดอลลาร์ ในบริบทนี้ ทีมรักษาความปลอดภัยของ SlowMist ได้วิเคราะห์เหตุการณ์ฟิชชิงและวิธีการโจมตีนี้ และติดตามกระแสเงินทุนของแฮกเกอร์

(https://x.com/lsp8940/status/1871350801270296709)

การวิเคราะห์ลิงก์ฟิชชิง

แฮกเกอร์ใช้ชื่อโดเมน เช่น "app[.]us4zoom[.]us" เพื่อปลอมตัวเป็นลิงก์การประชุม Zoom ที่ถูกต้อง หน้าเว็บดังกล่าวมีความคล้ายคลึงกับการประชุม Zoom จริงๆ มาก เมื่อผู้ใช้คลิกปุ่ม "เริ่มการประชุม" พวกเขาดาวน์โหลดแพ็คเกจติดตั้งที่เป็นอันตรายแทนที่จะเปิดโปรแกรม Zoom client ในเครื่อง

จากการตรวจสอบโดเมนที่กล่าวถึงข้างต้น เราค้นพบที่อยู่บันทึกการตรวจสอบของแฮกเกอร์ (https[:]//app[.]us4zoom[.]us/error_log)

การถอดรหัสพบว่านี่คือรายการบันทึกของสคริปต์ที่พยายามส่งข้อความผ่าน Telegram API ซึ่งเขียนเป็นภาษารัสเซีย

เว็บไซต์นี้ถูกใช้งานเมื่อ 27 วันที่แล้ว แฮกเกอร์ซึ่งน่าจะเป็นชาวรัสเซีย เริ่มโจมตีเหยื่อตั้งแต่วันที่ 14 พฤศจิกายน โดยตรวจสอบ Telegram API เพื่อดูว่ามีใครคลิกปุ่มดาวน์โหลดในหน้าฟิชชิ่งหรือไม่

การวิเคราะห์มัลแวร์

แพ็กเกจการติดตั้งที่เป็นอันตรายชื่อ "ZoomApp_v.3.14.dmg" ต่อไปนี้เป็นอินเทอร์เฟซที่แสดงโดยซอฟต์แวร์ฟิชชิ่ง Zoom ซึ่งหลอกผู้ใช้ให้รันสคริปต์อันตรายชื่อ "ZoomApp.file" ในเทอร์มินัล และยังแจ้งให้ผู้ใช้ป้อนรหัสผ่านภายในเครื่องด้วย

เนื้อหาการทำงานของไฟล์อันตรายมีดังนี้:

หลังจากถอดรหัสเนื้อหาข้างต้นแล้ว พบว่าเป็นสคริปต์ osascript ที่เป็นอันตราย

การวิเคราะห์เพิ่มเติมพบว่าสคริปต์ค้นหาไฟล์ปฏิบัติการที่ซ่อนอยู่ชื่อ ".ZoomApp" และรันในเครื่อง การวิเคราะห์ดิสก์ของแพ็กเกจการติดตั้งดั้งเดิม "ZoomApp_v.3.14.dmg" พบว่าแพ็กเกจการติดตั้งมีไฟล์ปฏิบัติการที่ซ่อนอยู่ชื่อ ".ZoomApp" จริงๆ

การวิเคราะห์พฤติกรรมที่เป็นอันตราย

การวิเคราะห์แบบคงที่

เราอัปโหลดไฟล์ไบนารีไปยังแพลตฟอร์มข่าวกรองภัยคุกคามเพื่อวิเคราะห์และพบว่าไฟล์ดังกล่าวได้รับการทำเครื่องหมายว่าเป็นอันตราย

(https://www.virustotal.com/gui/file/e4b6285e183dd5e1c4e9eaf30cec886fd15293205e706855a48b30c890cbf5f2)

จากการวิเคราะห์การแยกส่วนแบบคงที่ รูปภาพด้านล่างแสดงรหัสรายการของไฟล์ไบนารี ซึ่งใช้สำหรับการถอดรหัสข้อมูลและการดำเนินการสคริปต์

ภาพต่อไปนี้แสดงส่วนข้อมูล ซึ่งข้อมูลส่วนใหญ่ได้รับการเข้ารหัสและถอดรหัส

หลังจากถอดรหัสข้อมูลแล้ว พบว่าไฟล์ไบนารีได้ดำเนินการสคริปต์ osascript ที่เป็นอันตรายในที่สุด (รหัสถอดรหัสฉบับเต็มได้รับการแชร์ไว้ที่: https://pastebin.com/qRYQ44xa) สคริปต์นี้รวบรวมข้อมูลจากอุปกรณ์ของผู้ใช้และส่งไปยังแบ็กเอนด์

ภาพต่อไปนี้แสดงส่วนหนึ่งของโค้ดที่แจกแจงข้อมูลเส้นทาง ID ของปลั๊กอินต่างๆ

ภาพต่อไปนี้แสดงส่วนหนึ่งของโค้ดที่อ่านข้อมูล KeyChain ของคอมพิวเตอร์ หลังจากรวบรวมข้อมูลระบบ ข้อมูลเบราว์เซอร์ ข้อมูลกระเป๋าเงินที่เข้ารหัส ข้อมูล Telegram ข้อมูล Notes และข้อมูลคุกกี้แล้ว โค้ดอันตรายจะบีบอัดและส่งไปยังเซิร์ฟเวอร์ที่แฮ็กเกอร์ควบคุม (141.98.9.20) เนื่องจากโปรแกรมอันตรายหลอกผู้ใช้ให้ป้อนรหัสผ่านขณะทำงาน และสคริปต์อันตรายที่ตามมาจะรวบรวมข้อมูล KeyChain จากคอมพิวเตอร์ (ซึ่งอาจมีรหัสผ่านต่างๆ ที่เก็บไว้ในคอมพิวเตอร์) แฮ็กเกอร์จึงพยายามถอดรหัสข้อมูลนี้และขโมยข้อมูลสำคัญ เช่น ตัวช่วยจำกระเป๋าเงินและคีย์ส่วนตัวของผู้ใช้ เพื่อขโมยทรัพย์สิน การวิเคราะห์แสดงให้เห็นว่าที่อยู่ IP ของเซิร์ฟเวอร์แฮ็กเกอร์ตั้งอยู่ในเนเธอร์แลนด์ และถูกระบุว่าเป็นอันตรายโดยแพลตฟอร์มข่าวกรองภัยคุกคาม

(https://www.virustotal.com/gui/ip-address/141.98.9.20)

การวิเคราะห์แบบไดนามิก

รันโปรแกรมที่เป็นอันตรายในสภาพแวดล้อมเสมือนแบบไดนามิกและวิเคราะห์กระบวนการ รูปภาพต่อไปนี้แสดงข้อมูลการตรวจสอบของโปรแกรมที่เป็นอันตรายซึ่งรวบรวมข้อมูลภายในเครื่องและส่งข้อมูลไปยังกระบวนการเบื้องหลัง

การวิเคราะห์ MistTrack

เราใช้เครื่องมือติดตามแบบออนเชน MistTrack เพื่อวิเคราะห์ที่อยู่ของแฮ็กเกอร์ 0x9fd15727f43ebffd0af6fecf6e01a810348ee6ac ที่เหยื่อให้มา ที่อยู่ของแฮ็กเกอร์ทำกำไรได้มากกว่า 1 ล้านดอลลาร์สหรัฐฯ ซึ่งรวมถึง USD0++, MORPHO และ ETH โดย USD0++ และ MORPHO ถูกแปลงเป็น 296 ETH MistTrack แสดงให้เห็นว่าที่อยู่ของแฮ็กเกอร์ได้รับ ETH จำนวนเล็กน้อยจากที่อยู่ 0xb01caea8c6c47bbf4f4b4c5080ca642043359c2e ซึ่งน่าจะใช้เพื่อจ่ายค่าธรรมเนียมธุรกรรม ที่อยู่นี้ (0xb01c) ได้รับรายได้จากที่อยู่เดียวเท่านั้น แต่กลับโอน ETH จำนวนเล็กน้อยไปยังที่อยู่เกือบ 8,800 แห่ง ซึ่งบ่งชี้ว่าเป็นแพลตฟอร์มที่มุ่งเน้นการจ่ายค่าธรรมเนียมธุรกรรม

หลังจากกรองที่อยู่ที่ถูกทำเครื่องหมายว่าเป็นอันตรายจากออบเจ็กต์การโอนจากที่อยู่นี้ (0xb01c) เราพบที่อยู่ฟิชชิ่งสองแห่ง หนึ่งในนั้นถูกทำเครื่องหมายว่า Pink Drainer การวิเคราะห์เพิ่มเติมของที่อยู่ฟิชชิ่งทั้งสองแห่งนี้พบว่าเงินส่วนใหญ่ถูกโอนไปยัง ChangeNOW และ MEXC

จากนั้น เมื่อวิเคราะห์การไหลออกของเงินที่ถูกขโมย เราพบว่ามีการโอน ETH ทั้งหมด 296.45 ETH ไปยังที่อยู่ใหม่ 0xdfe7c22a382600dcffdde2c51aaa73d788ebae95

เวลาทำธุรกรรมครั้งแรกของที่อยู่ใหม่ (0xdfe7) อยู่ในเดือนกรกฎาคม 2023 ซึ่งเกี่ยวข้องกับหลายเครือข่าย และยอดคงเหลือปัจจุบันอยู่ที่ 32.81 ETH

เส้นทางการถอน ETH หลักของที่อยู่ใหม่ (0xdfe7) มีดังนี้:

· 200.79 ETH -> 0x19e0…5c98f

· 63.03 ETH -> 0x41a2…9c0b

· 8.44 ETH -> แลกเปลี่ยนเป็น 15,720 USDT

· 14.39 ETH -> Gate.io

การถอนเงินครั้งต่อไปจากที่อยู่ขยายข้างต้นจะเชื่อมโยงกับแพลตฟอร์มต่างๆ เช่น Bybit, Cryptomus.com, Swapspace, Gate.io และ MEXC และยังเชื่อมโยงกับแพลตฟอร์มที่ทำเครื่องหมายเป็น Angel Drainer และ Theft by MistTrack อีกด้วย นอกจากนี้ ยังมี 99.96 ETH อยู่ที่อยู่ 0x3624169dfeeead9f3234c0ccd38c3b97cecafd01 อีกด้วย

ที่อยู่ใหม่ (0xdfe7) ยังแสดงร่องรอยธุรกรรม USDT จำนวนมาก โดย USDT ถูกโอนไปยังแพลตฟอร์มต่างๆ เช่น Binance, MEXC และ FixedFloat รูปแบบฟิชชิ่งที่อธิบายไว้ในที่นี้เกี่ยวข้องกับแฮกเกอร์ที่ปลอมตัวเป็นลิงก์การประชุม Zoom ที่ถูกต้องตามกฎหมายเพื่อหลอกล่อผู้ใช้ให้ดาวน์โหลดและรันมัลแวร์ โดยทั่วไปแล้วมัลแวร์นี้มีความสามารถในการทำลายล้างหลายประการ รวมถึงการรวบรวมข้อมูลระบบ ขโมยข้อมูลเบราว์เซอร์ และขโมยข้อมูลกระเป๋าเงินคริปโตเคอร์เรนซี ซึ่งจากนั้นจะส่งต่อไปยังเซิร์ฟเวอร์ที่แฮกเกอร์ควบคุม การโจมตีประเภทนี้มักผสมผสานวิศวกรรมสังคมและการโจมตีด้วยม้าโทรจัน ทำให้ผู้ใช้ที่ไม่ระมัดระวังตกเป็นเหยื่อได้ง่าย ทีมรักษาความปลอดภัย SlowMist ขอแนะนำให้ผู้ใช้ตรวจสอบลิงก์การประชุมอย่างรอบคอบก่อนคลิก หลีกเลี่ยงการรันซอฟต์แวร์และคำสั่งจากแหล่งที่ไม่รู้จัก และติดตั้งและอัปเดตซอฟต์แวร์ป้องกันไวรัสเป็นประจำ หากต้องการความรู้ด้านความปลอดภัยเพิ่มเติม เราขอแนะนำให้อ่าน "Blockchain Dark Forest Self-Guard Handbook" ที่จัดทำโดย SlowMist Security Team: https://github.com/slowmist/Blockchain-dark-forest-selfguard-handbook/blob/main/README_CN.md

ลิงก์ต้นฉบับ

ยินดีต้อนรับสู่ชุมชนทางการของ BlockBeats:

กลุ่ม Telegram สมัครสมาชิก: https://t.me/theblockbeats

กลุ่ม Telegram พูดคุย: https://t.me/BlockBeats_App

บัญชี Twitter ทางการ: https://twitter.com/BlockBeatsAsia