Хакер #305. Многошаговые SQL-инъекции
Издание Bleeping Computer сообщает, что в Twitter пользователей кошельков Trust Wallet и MetaMask активно атакуют фишеры, выдающие себя за техническую поддержку. Цель данной кампании — кража криптовалюты пользователей.
Мобильные приложения MetaMask и Trust Wallet позволяют создавать кошельки для хранения, покупки, отправки и получения различной криптовалюты и NFT. Когда пользователь впервые запускает любое из приложений, ему предлагают создать новый кошелек. В рамках этого процесса нужно будет придумать фразу для восстановления, состоящую из 12 слов, и сохранить ее в безопасном месте, ведь фраза нужна для создания приватных ключей для доступа к кошельку. То есть любой, кто знает эту фразу, может импортировать кошелек на свое устройство и использовать хранящиеся в нем средства.
Около двух недель в Twitter идет вредоносная кампания. Всё начинается с того, что обычный и настоящий пользователь MetaMask или Trust Wallet жалуется в социальной сети на некую проблему, с которой столкнулся (от кражи средств и проблем с доступом к кошельку, да трудностей с использованием приложения).
Мошенники оперативно отвечают на такие твиты, выдавая себя за службу поддержки приложения, или за другого пользователя, который уверяет, что «Мгновенная поддержка» недавно помогла ему с точно такой же проблемой. В сообщениях будущим жертвам рекомендуют перейти на ссылке на docs.google.com или forms.app, чтобы заполнить заявку в поддержку и получить помощь.
После перехода по ссылке пользователь увидит фишинговую страницу, якобы предназначенную для заполнения заявки в поддержкуTrust Wallet или MetaMask. Здесь у жертвы спросят адрес электронной почты, имя, попросят описать проблему, а затем потребуют указать фразу для восстановления кошелька, состоящую из 12 слов.
Если доверчивый пользователь попадается на удочку мошенников и сообщает им свою фразу, злоумышленники могут импортировать кошелек жертвы на свои устройство и похитить всю криптовалюту.
Журналисты отмечают, что в такой ситуации поделать можно очень мало, и пострадавшие вряд ли сумеют вернуть свои средства. Издание подчеркивает, что фразу для восстановления кошелька ни в коем случае нельзя сообщать никому, ни на каких сайтах или в приложениях.
