Рекламите в Google и Twitter популяризират сайтове, съдържащи програма за източване на криптовалути, наречена „MS Drainer“, която през последните девет месеца вече е откраднала 59 милиона долара от 63 210 жертви.

Според анализаторите на блокчейн заплахи в ScamSniffer те са открили над десет хиляди фишинг уебсайта, използващи дренера, от март 2023 г. до днес, като пикове в активността се наблюдават през май, юни и ноември.

Дрейнерът е злонамерен интелигентен договор или, в този случай, пълен фишинг пакет, предназначен за източване на средства от криптовалутния портфейл на потребителя без неговото съгласие.

Потребителите биват отвеждани до легитимно изглеждащ фишинг уебсайт и подлъгвани да одобрят злонамерени договори, което позволява на дренера автоматично да извършва неоторизирани трансакции и да прехвърля парите на жертвата на адреса на портфейла на нападателя.

Изходният код за MS Drainer се продава на киберпрестъпниците за 1500 USD от потребител с име „Pakulichev“ или „PhishLab“, който също така начислява 20% такса върху всички средства, откраднати с инструментариума. Освен това PhishLab продава допълнителни модули, които добавят нови функции към зловредния софтуер, на цена между 500 и 1000 USD.

Публикация, популяризираща MS Drainer сред киберпрестъпниците (ScamSniffer)

Според блокчейн данни за дейността на MS Drainer една от жертвите му в Ethereum-веригата е загубила криптовалута на стойност 24 млн. долара, а други забележителни случаи включват жертви, загубили между 440 000 и 1,2 млн. долара.

Измамнически реклами в Google и X

В търсачката на Google MS Drainer се популяризира чрез злонамерени реклами, които се показват за ключови думи, свързани с DeFi платформи като Zapper, Lido, Stargate, Defillama, Orbiter Finance и Radiant.

Много от тези реклами се възползват от дупката в шаблона за проследяване на Google Ads, за да накарат URL адреса да изглежда като принадлежащ на официалния домейн на подправения проект. Пренасочването обаче отвежда тези, които кликнат, към фишинг сайт.

Пример за злонамерени реклами в Google Search (ScamSniffer)

В X, по-известен като Twitter, рекламите за MS Drainer са толкова много, че според ScamSniffer те представляват шест от деветте фишинг реклами в техния канал.

Забележително е, че много от измамните реклами в X са публикувани от легитимни „проверени“ акаунти, които носят синята значка с отметка, когато рекламата е показана.

Изследователят по сигурността MalwareHunterTeam, който е проследявал подобни реклами, заяви пред медии че смята, че притежателите на акаунти в Twitter може да са били заразени със злонамерен софтуер, който е откраднал техните бисквитки за удостоверяване или пароли, което е позволило на  заплахата да създава реклами от хакнатите акаунти.

Странното е, че изследователят е разговарял с акаунт X, рекламиращ измама с криптовалута, и му е било казано, че в рекламните му акаунти няма следи от рекламите.

В X киберпрестъпниците са използвали множество теми за своите реклами, включително една, наречена „Ordinals Bubbles“, която е рекламирала предполагаемо ограничена колекция от NFT (non-fungible token), включваща различни герои, затворени в балони.

‘Ordinals Bubbles’ реклами в X (ScamSniffer)

Рекламите също така промотират въздушни капки на NFT и пускане на нови токени на сайтове, които съдържат дрейнър.

Други реклами, популяризиращи MS Drainer в X (ScamSniffer)

ScamSniffer твърди, че един от методите за заобикаляне на откриването, използван от тези реклами, е геофенсингът, който е насочен само към потребители от предварително определени региони и пренасочва останалите към легитимни/безвредни уебсайтове.

Промяна на началната страница в зависимост от местоположението на посетителя (ScamSniffer)

Измамите с криптовалути винаги са се представяли добре в X, но с надеждните, хакнати акаунти, които сега показват реклами, популяризиращи злонамерени сайтове, трябва да очакваме тези видове атаки да станат още по-успешни.

Потребителите трябва да бъдат много предпазливи, когато виждат реклами, свързани с криптовалути, и да извършват надлежна проверка, преди да се регистрират в нови платформи, да не говорим за свързване на портфейлите си.