(1).png)
Darktrace 的研究揭示，目前正有社交工程活動通過虛假初創(chuàng)公司針對加密貨幣用戶展開。詐騙者使用偽造的社交媒體賬戶冒充人工智能、游戲和 Web3 公司。
項目文檔托管在 Notion 和 GitHub 等合法平臺上。該攻擊活動自 2024 年 12 月以來持續(xù)變化，目標是全球的 Web3 員工。
虛假公司利用合法平臺建立可信形象
威脅行為者創(chuàng)建虛假的初創(chuàng)公司，主題涵蓋人工智能、游戲、視頻會議軟件等。Web3 和社交媒體公司等幌子有助于精準攻擊加密貨幣用戶。這些操作通常使用經(jīng)過驗證的被盜 X 賬戶聯(lián)系受害者。
攻擊者使用包括 Notion、Medium 和 GitHub 在內的合法平臺來發(fā)布文檔。這些看似專業(yè)的網(wǎng)站包含員工資料、產品博客、白皮書和開發(fā)路線圖。X 個賬戶似乎已被入侵，但其粉絲數(shù)量較高，這進一步增強了其合法性的可信度。
這 騙子在社交媒體賬戶上保持活躍，發(fā)布軟件開發(fā)更新。產品營銷內容定期分享，營銷活動跨平臺開展。Eternal Decay 區(qū)塊鏈游戲制作了虛假的會議演示照片，以提高可信度。
攻擊者甚至篡改了意大利展會的照片，使其看起來像是公司演示文稿。Medium 上充斥著關于虛假軟件產品和公司發(fā)展情況的博客文章。Notion 包含詳細的產品路線圖和全面的員工信息。
GitHub 倉庫利用竊取的開源項目，展現(xiàn)技術軟件方面的特色。代碼名稱會被更改，以使倉庫看起來獨一無二且原創(chuàng)。來自 Companies House 的公司注冊信息會被鏈接到名稱相似的公司。
Gitbook 詳細列出了公司信息，并列出了虛假的投資者合作關系，以增強可信度。游戲截圖來自 Zombie Within游戲以“永恒腐朽”內容的形式出現(xiàn)。一些假冒公司會建立商品商店來完善商業(yè)門面。
這些元素組合在一起，營造出令人信服的初創(chuàng)公司形象，從而提高感染成功率。受害者通過 X 消息、Telegram 或 Discord 與員工取得聯(lián)系。假冒員工會以加密貨幣支付參與軟件測試的費用。
針對 Windows 和 macOS 加密錢包用戶的惡意軟件
Windows 版本通過 Electron 應用分發(fā)，這些應用要求冒充員工輸入注冊碼。用戶輸入通過社交媒體消息發(fā)送的代碼后，即可下載 Bin 文件。惡意軟件在目標系統(tǒng)上執(zhí)行之前，會顯示 CloudFlare 驗證屏幕。
該惡意軟件會收集用戶名、CPU 詳細信息、RAM 和圖形等系統(tǒng)配置文件。在初步偵察階段，它會收集 MAC 地址和系統(tǒng) UUID?；诹钆频纳矸蒡炞C機制使用從應用程序啟動器 URL 派生的令牌。
竊取的代碼簽名證書可以提高軟件的合法性，并規(guī)避安全檢測。江陰豐源電子有限公司和 Paperbucketmdb ApS 等公司的證書就曾被利用。Python 會被檢索并存儲在臨時目錄中，用于命令執(zhí)行。
macOS 發(fā)行版以包含 Bash 腳本和二進制文件的 DMG 文件形式發(fā)布。腳本使用了諸如 Base64 編碼和 XOR 加密之類的混淆技術。AppleScript 會自動掛載惡意軟件并從臨時目錄運行可執(zhí)行文件。
macOS 惡意軟件會對 QEMU、VMWare 和 Docker 環(huán)境執(zhí)行反分析檢查。Atomic Stealer 的目標是瀏覽器數(shù)據(jù)、加密錢包、Cookie 和文檔文件。被竊取的數(shù)據(jù)會被壓縮并通過 POST 請求發(fā)送到服務器。
附加的 Bash 腳本通過登錄時的啟動代理配置建立持久性。惡意軟件會持續(xù)記錄活動應用程序的使用情況和窗口信息。用戶交互時間戳會被記錄并定期傳輸?shù)绞占掌鳌?/p>
這兩個版本都專門針對加密貨幣錢包數(shù)據(jù)進行盜竊。多家虛假公司分發(fā)相同的惡意軟件，但品牌和主題各不相同。
在多個平臺上發(fā)現(xiàn)的大量虛假公司名單
Darktrace 揭露了多家假冒公司正在參與此次社會工程活動。Pollens AI 使用 X 賬戶和其他網(wǎng)站冒充協(xié)作創(chuàng)作工具。Buzzu 使用與 Pollens 相同的徽標和代碼，但以不同的品牌運營。
據(jù)報道，Cloudsign 為企業(yè)消費者提供文檔簽名平臺服務。Swox 是 Web3 空間的下一代社交網(wǎng)絡。KlastAI 與 Pollens 的賬戶和帶有相同品牌的網(wǎng)站緊密相關。
Wasper 在各個領域使用與 Pollens 相同的徽標和 GitHub 代碼。Lunelior 通過多個網(wǎng)站運營，服務于不同的特定用戶群體。BeeSync 在 2025 年 1 月更名之前曾以 Buzzu 的別名運營。
Slax 在多個網(wǎng)站上托管社交媒體和以人工智能為中心的網(wǎng)站。Solune 通過社交媒體平臺活動和即時通訊應用吸引用戶。Eternal Decay 是一家區(qū)塊鏈游戲公司，擁有合成會議演示。
Dexis 與 Swox 擁有相同的品牌和用戶群。NexVoo 擁有多個域名和社交媒體平臺管理。NexLoop 通過重命名 GitHub 存儲庫更名為 NexoraCore。
YondaAI 的目標客戶是社交媒體網(wǎng)站用戶和各種網(wǎng)站域名用戶。每家企業(yè)都通過真實的平臺集成流程擁有專業(yè)的前端。CrazyEvil 交易團伙自 2021 年以來一直在開展此類活動。
Recorded Future 估計 CrazyEvil 的惡意活動收入高達數(shù)百萬美元。據(jù)稱，該組織是針對加密貨幣用戶、網(wǎng)紅和 DeFi 專業(yè)人士的攻擊的幕后黑手。這些活動展現(xiàn)出其不惜一切代價，試圖偽裝成合法的商業(yè)行為。
KEY 差異線：加密貨幣項目用來獲得媒體報道的秘密工具
贊
.png)
567
收藏
