Ny trussel mot kryptovaluta- og finansprofesjonelle
Et nytt sosialt ingeniørskapsopplegg utnytter Obsidian-notatappen for å distribuere stealthy malware som retter seg mot kryptovaluta- og finansprofesjonelle. Elastic Security Labs publiserte en rapport tirsdag som detaljerer hvordan angripere bruker utviklet sosial ingeniørkunst på LinkedIn og Telegram for å omgå tradisjonell sikkerhet ved å skjule ondsinnet kode i fellesskapsutviklede plugins.
Kampanjens mål og metode
Kampanjen retter seg spesifikt mot enkeltpersoner i det digitale eiendomsrommet og utnytter den permanente naturen av blockchain-transaksjoner. Denne sårbarheten er spesielt akutt, gitt at lommebokkompromisser utgjorde 713 millioner dollar i stjålne midler i løpet av 2025, ifølge Chainalysis-data.
Infiltreringen begynner med svindlere som utgir seg for å være representanter for risikokapital på LinkedIn for å initiere profesjonelt nettverksbygging. Disse samtalene overgår til slutt til Telegram, hvor angriperne diskuterer kryptovaluta likviditetsløsninger for å bygge en plausibel forretningskontekst.
Infeksjonsmetode
Når tillit er etablert, blir målene invitert til å få tilgang til det som beskrives som en bedriftsdatabase eller dashbord som er vert på et delt Obsidian-skyvåpen. Å åpne våpenet fungerer som den første tilgangsvektoren. Offeret blir bedt om å aktivere synkronisering av fellesskapsplugins, noe som utløser stille kjøring av trojanisert programvare.
Mens den tekniske utførelsen varierer litt mellom Windows og macOS, resulterer begge veier i installasjonen av en tidligere ukjent fjernkontrolltrojan (RAT) kalt PHANTOMPULSE. Denne malware er designet for å gi angriperne full kontroll over den infiserte enheten samtidig som den opprettholder en lav profil for å unngå oppdagelse.
Hvordan PHANTOMPULSE fungerer
PHANTOMPULSE opprettholder sin tilkobling til angriperne gjennom et desentralisert kommandosystem (C2) som strekker seg over tre forskjellige blockchain-nettverk. Ved å bruke on-chain transaksjonsdata knyttet til spesifikke lommebøker, kan malware motta instruksjoner uten en sentral server.
«Fordi blockchain-transaksjoner er uforanderlige og offentlig tilgjengelige, kan malware alltid finne sin C2 uten å stole på sentralisert infrastruktur,» bemerket Elastic.
Bruken av flere kjeder sikrer at angrepet forblir motstandsdyktig selv om en blockchain-explorer er begrenset. Denne metoden lar operatørene rotere infrastrukturen sømløst, noe som gjør det vanskelig for forsvarere å kutte forbindelsen mellom malware og kilden.
Advarsler og anbefalinger
Elastic advarte om at ved å misbruke Obsidian sin tiltenkte funksjonalitet, klarte hackerne å omgå tradisjonelle sikkerhetskontroller helt. Selskapet foreslår at organisasjoner som opererer i høy-risiko finanssektorer bør implementere strenge applikasjonsnivåpolitikker for plugins for å forhindre at legitime produktivitetsverktøy blir omgjort til inngangspunkter for tyveri.
