Uusi sosiaalisen manipuloinnin kaavio
Uusi sosiaalisen manipuloinnin kaavio hyödyntää Obsidian-muistiinpanosovellusta levittääkseen huomaamatonta haittaohjelmaa, joka kohdistuu kryptovaluutta- ja rahoitusalan ammattilaisiin. Elastic Security Labs julkaisi tiistaina raportin, jossa kerrotaan yksityiskohtaisesti, kuinka hyökkääjät käyttävät ”monimutkaista sosiaalista manipulointia LinkedInissä ja Telegramissa” ohittaakseen perinteiset turvallisuusmenettelyt piilottamalla haitallista koodia yhteisön kehittämiin liitännäisiin.
Kohde ja uhka
Kampanja kohdistuu erityisesti digitaalisten omaisuuserien alalla toimiviin henkilöihin, hyödyntäen lohkoketjun transaktioiden pysyvyyttä. Tämä haavoittuvuus on erityisen akuutti, kun otetaan huomioon, että lompakkokompromissit aiheuttivat 713 miljoonan dollarin arvosta varastettuja varoja vuonna 2025 Chainalysisin tietojen mukaan.
Hyökkäysmenetelmä
Infiltraatio alkaa huijareiden esittäytyessä riskipääomasijoittajien edustajina LinkedInissä ammatillisen verkostoitumisen aloittamiseksi. Nämä keskustelut siirtyvät lopulta Telegramiin, jossa hyökkääjät keskustelevat kryptovaluutan likviditeettiratkaisuista luodakseen ”uskottavan liiketoimintayhteyden”.
”Kun luottamus on luotu, kohteet kutsutaan pääsemään käsiksi siihen, mitä kuvataan yrityksen tietokannaksi tai hallintapaneeliksi, joka on isännöity jaetussa Obsidian-pilvivaultissa.”
Vaultin avaaminen toimii ensimmäisenä pääsykanavana. Uhri ohjataan mahdollistamaan yhteisön liitännäisten synkronointi, mikä laukaisee troijalaisen ohjelmiston hiljaisen suorittamisen. Vaikka tekninen toteutus vaihtelee hieman Windowsin ja macOS:n välillä, molemmat polut johtavat aiemmin tuntemattoman etäyhteys troijalaisen (RAT) nimeltä PHANTOMPULSE asentamiseen.
Haittaohjelman toiminta
Tämä haittaohjelma on suunniteltu antamaan hyökkääjille täydellinen hallinta tartunnan saaneesta laitteesta samalla kun se säilyttää matalan profiilin välttääkseen havaitsemista. PHANTOMPULSE ylläpitää yhteyttään hyökkääjiin hajautetun komento- ja ohjausjärjestelmän (C2) kautta, joka kattaa kolme eri lohkoketjuverkkoa.
”Koska lohkoketjun transaktiot ovat muuttumattomia ja julkisesti saatavilla, haittaohjelma voi aina löytää C2:nsä luottamatta keskitettyyn infrastruktuuriin,” Elastic huomautti.
Useiden ketjujen käyttö varmistaa, että hyökkäys pysyy kestävämpänä, vaikka yksi lohkoketjun tutkija rajoitettaisiin. Tämä menetelmä mahdollistaa operaattoreiden vaihtaa infrastruktuuriaan saumattomasti, mikä tekee puolustajien vaikeaksi katkaista yhteys haittaohjelman ja sen lähteen välillä.
Suositukset
Elastic varoitti, että hyväksikäyttämällä Obsidianin tarkoitettua toiminnallisuutta hakkerit onnistuivat ”ohittamaan perinteiset turvallisuusvalvontakontrollit kokonaan.” Yritys ehdottaa, että korkean riskin rahoitussektoreilla toimivien organisaatioiden tulisi toteuttaa tiukkoja sovellustason käytäntöjä liitännäisille estääkseen laillisten tuottavuustyökalujen uudelleenkäytön varastamisen pääsykanavina.
