ESET виявила який краде кріптовалюти троян GMERA

Фахівці компанії ESET виявили троян GMERA, який краде кріптовалюти у трейдерів. ЗА розповсюджується під виглядом додатків для торгівлі криптоактивами на Apple MacOS.

Компанія ESET, яка працює в сфері кібербезпеки, повідомила, що шкідливе ПО інтегровано в підроблені програми для торгівлі криптовалютами. Після встановлення таких розширень воно починає викрадати цифрові активи з користувацьких гаманців. Зловмисники видають себе за торгову платформу Kattana. Вони скопіювали сайт сервісу і просувають своє ПЗ під виглядом чотирьох додатків: Cointrazer, Cupatrade, Licatrade і Trezarus. Вперше троян був виявлений антивірусної компанією Trend Micro у вересні 2019 року. У той час GMERA поширювався у формі додатка Stockfolio для інвестицій у фондовий ринок.

Спеціалісти ESET повідомили, що при завантаженні додатків з підробленого сайту користувач викачує теку у форматі ZIP з зараженої версією програми. Причому ці програми повністю підтримують торговельні функції. Експерти додали, що у людини, яка не користується оригінальними сервісами Kattana, підроблені сайти можуть не викликати підозр. Хакери використовують соціальну інженерію, безпосередньо контактуючи з потенційними жертвами. Компанія ESET проаналізувала шкідливе ПЗ на прикладі програми Licatrade, з яким GMERA має лише незначні відмінності.

Троян встановлює на комп’ютер жертви сценарій оболонки, який надає хакерам доступ до системи користувача через викачане додаток. Цей сценарій дозволяє зловмисникам створювати командні сервери через HTTP, що дає можливість обмінюватися даними з пристроєм жертви. GMERA краде персональні дані користувача, інформацію про його криптовалютных гаманцях, місцезнаходження, а також знімки екрану. Спеціалісти ESET повідомили про цю проблему Apple, після чого корпорація в той же день відкликала свідоцтво, видане Licatrade.

Нагадаємо, що у квітні Google видалив 49 розширень браузера Chrome, які поширювалися як утиліти для роботи з криптовалютными гаманцями, але містили шкідливий код. Пізніше Google видалив ще 22 розширення, які крали кріптовалюти.