Robo de criptomonedas de GreedyBear: Cómo hackers robaron más de un millón de dólares usando extensiones maliciosas y malware
Los ciberdelincuentes han vuelto a subir la apuesta. El notorio grupo conocido como GreedyBear Ha robado con éxito más de $ 1 millón en criptomonedas lanzando un ataque coordinado a gran escala aprovechando extensiones de navegador, ejecutables maliciosos y sitios web falsos.
1. Extensiones de Firefox convertidas en armas: vaciamiento de extensiones
GreedyBear publicó más de 150 extensiones de Firefox que inicialmente parecían inofensivas, como los limpiadores de enlaces y las herramientas de vídeo. Una vez que suficientes usuarios las descargaron, estas extensiones se actualizaron con scripts maliciosos Diseñado para imitar billeteras confiables como MetaMask, enlace tronl, Exodus, y Monedero Rabby.
Este método, conocido como ahuecamiento de extensión, les permitió robar credenciales de billetera y direcciones IP directamente desde los elementos de la interfaz de usuario del navegador.
2. Ejecutables de malware dirigidos a Windows
El grupo se desplegó casi 500 archivos ejecutables maliciosos que contiene ladrones de credenciales como Ladrón de lúmenes, variantes de ransomware y troyanos. Estos archivos se distribuyeron a través de sitios web de piratería en ruso alojar software pirateado o reempaquetado, incitando a los usuarios a instalar malware sin saberlo.
3. Páginas de phishing y sitios web de criptomonedas falsos
GreedyBear también creó sitios web fraudulentos Simulando ofrecer servicios de criptomonedas como herramientas de billetera o billeteras de hardware, estos sitios web, diseñados profesionalmente, engañaban a los usuarios para que proporcionaran datos confidenciales bajo falsas promesas.
4. Infraestructura única de mando y control
Todos los componentes del ataque se remontan a un dirección IP central: 185.208.156.66Este servidor C2 administraba cargas útiles de extensiones del navegador, comunicación de malware y operaciones de phishing, lo que indicaba una infraestructura bien coordinada.
5. Una campaña de escalada
Originalmente conocido por el Cartera Foxy Con más de 40 extensiones, GreedyBear ha escalado a más de 150 amenazas activas. Este rápido crecimiento sugiere... Desarrollo de malware asistido por IA y un impulso al robo cibernético industrializado.
Protéjase: Consejos de higiene cibernética
- Revisar y eliminar extensiones de navegador desconocidas con frecuencia.
- Utilice billeteras verificadas y auditadas—Evite las herramientas de cifrado basadas en navegador a menos que sea necesario.
- Evite las descargas de software pirateado de fuentes no confiables.
- Habilitar la autenticación multifactor (MFA) en cuentas criptográficas.
- Restablecer credenciales inmediatamente si sospecha que hay algún compromiso.
- Almacene sus activos sin conexión Utilizando billeteras frías cuando sea posible.
Tabla de resumen
| Aspecto | Detalles |
|---|---|
| Monto del robo | Más de un millón de dólares en criptomonedas |
| Vectores de ataque | Extensiones de navegador, ejecutables de malware y sitios web fraudulentos |
| Herramientas utilizadas | Vaciamiento de extensiones, malware de IA y ladrones de credenciales |
| Servidor C2 | 185.208.156.66 |
| Campaña inicial | Foxy Wallet: ahora con un nuevo nombre y una nueva expansión |
Conclusión
La campaña GreedyBear muestra cómo los grupos de ciberdelincuentes están evolucionando con estrategias sofisticadas y multifacéticas. Los usuarios de criptomonedas deben adoptar mejores prácticas de seguridad, mantenerse alerta y evitar herramientas o software que no hayan sido examinados exhaustivamente. Ante la escalada de ciberamenazas, la defensa proactiva es la mejor protección.
