Наказать воров и мошенников: обнаружен вирус, ворующий уже украденную криптовалюту

​

Все наслышаны о взломах и кражах криптовалют у доверчивых пользователей, которые попадаются на удочку мошенникам всех мастей. Но, похоже, кому-то это изрядно надоело и этот или эта кто-то решил (а) наказать мошенников, создав JS-скрипт, который ворует уже наворованную криптовалюту с сайтов мошеннических криптопроектов.

Вирус под названием Water Labbu орудует с начала лета 2022 года, его жертвами стали по меньшей мере 45 мошеннических сайтов, "собирающих" криптовалюту с пользователей под видом инвестиций. При этом, он не возвращает награбленное жертвам, которые в любом случае лишаются своих средств.

Вирус, "заточенный" на поиск мошеннических сайтов, маскирующихся под протоколы кредитования, сам маскируется под DeFi App (децентрализованное приложение) и внедряется в них под видом в полезной нагрузки JavaScript: в одном из отслеживаемых случаев, вирус внедрил тег IMG для загрузки полезной нагрузки JavaScript в кодировке Base64 с использованием события "onerror" в т.н. методе обхода XSS - фильтров межсайтового скриптинга.

​

Затем введенная "полезная нагрузка" создает другой элемент сценария, в свою очередь загружающего другой сценарий с сервера доставки, который в свою очередь фильтрует жертв и доставляет различный контент на основе IP-адреса и заголовка User-Agent браузера (используется для определения окружения жертвы).

Если жертва загружает скрипт с мобильного устройства под управлением ОС Android или iOS, он возвращает скрипт этапа №1 с возможностями непосредственной кражи криптовалюты. Если же жертва загружает сценарий с рабочего стола под управлением Windows, скрипт возвращает сценарий №2, выводящий поддельное сообщение об обновлении Flash с просьбой загрузить вредоносный exe-файл.

Затем реализуется механизм перехвата транзакции и подмены адреса кошелька мошенников на адреса разработчика / разработчиков / владельцев вируса / хакеров, куда и переводятся средства. При этом, используются криптоплатформы Uniswap и Tornado Cash.

Кого интересует "рутина" с подробным разбором работы этого вредоносного ПО - вэлкам на официальный сайт Trend Micro, спецы которого и сообщили о своей находке.

Отмечается, что по состоянию на август 2022 года, Water Labbu только в блокчейне Ethereum "увел" криптовалют больше чем на $315000, в основном это стейблкоины USDT с привязкой к доллару США.

Источник