Нова фишинг кампания атакува доставчиците на услуги за управление на взаимоотношенията с клиенти (CRM) и на масови имейли, за да разпространява фишинг съобщения, насочени към собствениците на криптовалути.
Кампанията, наречена PoisonSeed, включва нова тактика, при която на жертвата се предоставя криптофраза, която позволява на заплашващия да открадне активите им. Еквивалентни на частен ключ, тези фрази могат да се използват за импортиране на портфейли в нови устройства.
Атаките засягат доставчици на CRM и масови имейли като Mailchimp, Hubspot, Mailgun, SendGrid и Zoho, като са насочени към потребителите на Coinbase и Ledger, твърди фирмата за киберразузнаване Silent Push.
През последния месец PoisonSeed е насочвала потенциални жертви с фишинг имейли, в които се твърди, че Coinbase преминава към самонасочващи се портфейли, и призовава потребителите да прехвърлят активите си в нови портфейли за криптовалути.
За да избегнат откриването, вместо да вграждат злонамерени връзки в съобщенията си, нападателите са включвали фрази за сигурност, инструктирайки получателите да ги използват при създаването на нови портфейли, като по този начин получават достъп до средствата.
Coinbase предупреди потребителите за подобни атаки в средата на март, като ги предупреди никога да не въвеждат фраза за възстановяване, получена от някой друг. Смята се, че потребителите на Coinbase са загубили криптовалута на стойност около 46 млн. долара в резултат на фишинг.
Според Silent Push фишинг имейлите на Coinbase са били изпратени от компрометиран акаунт на Akamai в SendGrid, който е бил използван и за изпращане на фишинг съобщения, целящи компрометиране на акаунти в SendGrid на други организации, вероятно с цел увековечаване на измамата чрез повече масови имейл акаунти.
Като се задълбочи, фирмата за киберсигурност идентифицира 49 уникални домейна, които са били свързани с фишинг кампанията, и откри, че заплахата се е насочилa и към портфейлите Ledger.
Освен това тя свърза кампанията PoisonSeed с фишинг атаката на Mailchimp, на която в края на март стана жертва Трой Хънт, поддържащ услугата за уведомяване за нарушаване на сигурността на данните Have I Been Pwned?
Атаката е разчитала на фишинг страница, хоствана на mailchimp-sso [.] com – домейн, който се използва за злонамерени дейности от 2022 г. насам и който преди това е бил свързан със Scattered Spider, UNC3944, Scatter Swine, Starfraud и Muddled Libra.
Silent Push също така откри връзка с CryptoChameleon – комплект за фишинг, който беше използван миналата година в сложна фишинг атака, насочена както към платформи за криптовалути, така и към служители на FCC.
Въпреки тези връзки обаче Silent Push смята, че PoisonSeed е различна заплаха: Scattered Spider е насочен към други марки и макар че това може да е нов фишинг комплект от CryptoChameleon, колективът е известен с използването на други методи за фишинг.
