Publicidade
Um invasor conhecido como “DEV-0139” tentou hackear fundos de criptomoedas por meio de bate-papos em grupos do Telegram, disse a equipe de inteligência de segurança da Microsoft em um relatório divulgado nesta quarta-feira (7).
O invasor (ou grupo de invasores), segundo a empresa, tentou capitalizar em cima de um problema específico: as taxas cobradas pelas exchanges de criptomoedas sobre as transações. No geral, elas representam um custo e devem ser otimizadas para minimizar o impacto nas margens e lucros. Como muitas outras empresas do setor, os maiores custos vêm dessas taxas.
A estratégia do DEV-0139 é a seguinte: ele entra em vários grupos do Telegram usados por clientes e exchanges de alto nível para comunicação e identifica suas vítimas entre os membros. As corretoras OKX, Huobi e Binance foram visadas, mostram dados do relatório da Microsoft.
Fingindo ser um funcionário de exchange, o DEV-0139 convida o alvo para um grupo de bate-papo diferente e finge pedir feedback sobre as estruturas de taxas usadas pelas corretoras. Ele inicia uma conversa para ganhar a confiança, usando seu conhecimento da indústria cripto.
O DEV-0139 então envia um arquivo Excel contendo dados precisos sobre as estruturas de taxas entre as corretoras de criptomoedas, com o objetivo de aumentar sua credibilidade.
O arquivo do Excel inicia uma série de atividades, incluindo o uso de um programa malicioso para recuperar dados, e libera outra planilha. Essa outra planilha é então executada no modo invisível e usada para baixar um arquivo de imagem contendo três executáveis: um arquivo legítimo do Windows, uma versão maliciosa de um arquivo DLL e um código XOR com backdoor.
Continua depois da publicidade
Uma DLL é uma biblioteca que contém códigos e dados que podem ser usados por mais de um programa ao mesmo tempo; o XOR é um método de criptografia usado para criptografar dados que é difícil de quebrar pelo método de força bruta (técnica da ciência da computação utilizada para solucionar problemas); e o backdoor é uma espécie de malware que fornece acesso não autorizado.
O hacker consegue acessar remotamente o sistema infectado por meio do uso do backdoor.
A Microsoft disse que o DEV-0139 também pode ter executado outras campanhas usando técnicas semelhantes.
