الفئة: استخبارات الخصمالصناعة: الخدمات المالية والمصرفيةالتحفيز: الماليةالمنطقة: عالميمصدر*: C3

ملخص تنفيذي

تهديدتأثيرتخفيف

• مصفاة خاصة لـ Metamask قادرة على نقل العملة المشفرة من محفظة الضحية إلى محفظة المهاجم.

• فقدان الأموال والرموز والعملات المشفرة.
• فقدان السمعة والثقة بالعلامة التجارية MetaMask.

• لا تشارك عبارة الاسترداد السرية الخاصة بك.
• لا تقم بتسجيل الدخول أو توصيل محفظتك على موقع الويب.

التحليل والإسناد

معلومات من البريد

• كلاود سيكمنصة المخاطر الرقمية السياقية للذكاء الاصطناعي الجيل السادس عشر اكتشفت أحد ممثلي التهديد الذين يعلنون عن مصفاة خاصة لـ MetaMask، والتي يمكنها نقل العملة المشفرة من محفظة الضحية إلى محفظة المهاجم.
• كان ممثل التهديد يعرض خدمة التجفيف مقابل 1,500 دولار أمريكي.
• يتم تقديم الخدمات التالية للبيع:
  • ملف المجفف
  • برنامج لشطب التوكن/NAT
  • إرسال السجلات إلى Telegram
  • دعم التثبيت للمجفف
• يقوم البرنامج النصي بفحص محافظ الشبكات الثلاث التالية:
  • شبكة إيثريوم الرئيسية (ERC)
  • الشبكة الرئيسية لسلسلة Binance الذكية (BSC)
  • الشبكة الرئيسية المضلعة (المضلع)

[معرف التسمية التوضيحية = «المرفق _20907" align= «alignnone» العرض = «1065"] إعلان ممثل التهديد [/caption]

معلومات حول ميتاماسك

• MetaMask عبارة عن محفظة برمجية للعملات المشفرة تستخدم للتفاعل مع بلوكشين إيثريوم.
• وهو يسمح للمستخدمين بالوصول إلى محفظة إيثريوم الخاصة بهم من خلال ملحق المتصفح أو تطبيق الهاتف المحمول، والذي يمكن استخدامه بعد ذلك للتفاعل مع التطبيقات اللامركزية.
• يدعم MetaMask جميع أنواع الرموز (الرمز العادي أو NFT أو الرمز غير القابل للاستبدال).

[معرف التسمية التوضيحية = «المرفق 20908" align= «alignnone» width="600"] شعار ميتاماسك [/caption]

معلومات حول المجفف

• ستتم إعادة توجيه الضحية إلى موقع التصيد الاحتيالي المزيف حيث سيُطلب من الضحية الاتصال بمحفظة MetaMask.
• سيتحقق البرنامج النصي من تكلفة كل ما هو متاح في المحفظة (المال، الرموز، NFT) في الشبكات الثلاث (ERC، BSC، Polygon).
• يقترح البرنامج النصي إجراء الموافقة (أو السماح بالوصول إلى الرموز المميزة أو NFT) أو إرسال عملة معدنية. بمجرد أن ينقر الشخص للسماح بذلك، يسرق برنامج منفصل ما تمت الموافقة عليه.
• يقوم عامل الصرف الخاص بنقل العملة المشفرة من محفظة الضحية إلى محفظة المهاجم.
• سيرسل عامل التجفيف جميع سجلات النشاط إلى المهاجم عبر Telegram ويبلغ عن الرموز والمعاملات المعتمدة.
• لا يتطلب برنامج التصريف توقيعًا إضافيًا لمصادقة المعاملة التي تكون مطلوبة عادةً عند إرسال الرموز المميزة أو NFTs أو العملات المعدنية.

[معرف التسمية التوضيحية = «المرفق _20909" align= «alignnone» width="1200"] تمثيل تصويري لعملية السرقة [/caption]

معلومات من مصدر حساس

وقد تأكد مصدر حساس على اتصال مع الجهة الفاعلة في مجال التهديد من أن:

• شارك الممثل عينة فيديو توضح عملية نقل رمز من محفظة الضحية إلى محفظة المهاجم.
• كما كشف الفيديو عن عناوين المحفظة لكل من الممثل والضحية.
• من الممكن أن تكون عناوين المحفظة المرتبطة عبارة عن محافظ وهمية يستخدمها ممثل التهديد.

معلومات من منتديات الجرائم الإلكترونية

• وقد لوحظ أن العديد من الجهات الفاعلة في مجال التهديد تقدم خدمات برمجة نصية مماثلة لسرقة الرموز من المحافظ.
• تم الإعلان عن الأنواع التالية من أدوات تجفيف الرموز لـ MetaMask:
  • مصفاة ذات توقيع واحد
  • مجفف مع التوقيع والنقل التلقائي
  • مصفاة لشطب كل سرداب

معلومات من OSINT

• لاحظ باحثو CloudSek العديد من حملات التصيد الاحتيالي التي تستهدف عملاء ومستخدمي MetaMask تحت ستار إكمال KYC أو التحقق من المحفظة.
• تستعين الجهات الفاعلة في مجال التهديد برسائل البريد الإلكتروني للقبض على الضحية لتوجيهها إلى مواقع التصيد الاحتيالي المزيفة المدمجة مع البرامج النصية وبرامج التصريف.
• ولوحظ أيضًا أن ممثلًا في مجال التهديد من أصل صيني يُدعى «SeaFlower» كان يستخدم موقع الويب المستنسخ لـ MetaMask لجذب الضحايا لتنزيل نسخة تجريبية من MetaMask لسرقة رصيد المحفظة والرموز المميزة.

نشاط وتصنيف الجهات الفاعلة في مجال التهديد

تحديد سمات الجهات الفاعلة في مجال التهديدنشط منذ سبتمبر 2022 السمعة المنخفضة (شكاوى ومخاوف متعددة في المنتدى) الحالة الحاليةالتاريخ النشط التعامل مع المجفف الخاص لـ MetaMaskratingC3 (C: موثوق إلى حد ما؛ 3: ربما صحيح)

التأثير والتخفيف

التأثيرالتخفيف

• فقدان الأموال والرموز والعملات المشفرة.
• فقدان السمعة والثقة في علامة MetaMask التجارية.
• يمكن استخدام المعلومات الحساسة مثل عبارات الاسترداد السرية وتفاصيل المحفظة من قبل الجهات الفاعلة في مجال التهديد للوصول إلى المحفظة.

• لا تشارك عبارات الاسترداد السرية.
• لا تقم بتسجيل الدخول أو توصيل محفظتك على موقع الويب.
• ضع في اعتبارك الحصول على محفظة للأجهزة.
• كن يقظًا بشأن التحقق من شرعية موقع الويب.

المراجع

• *مصدر الذكاء وموثوقية المعلومات - ويكيبيديا
• ^#بروتوكول إشارات المرور - ويكيبيديا
• ميتاماسك - ويكيبيديا

الملحق

تعلن جهات التهديد المتعددة عن خدمات MetaMask drainer في منتديات الجرائم الإلكترونيةرسائل البريد الإلكتروني المزيفة التي يستخدمها الممثلون لجذب الضحية إلى صفحات MetaMask المخادعة [معرف التسمية التوضيحية = «المرفق _20916" align= «alignnone» width="896"] سجل المعاملات لمحفظة الممثل [/caption] [معرف التسمية التوضيحية = «المرفق _20917" align= «alignnone» width="1056"] عينة من الصور التي شاركها ممثل التهديد [/caption] [معرف التسمية التوضيحية = «المرفق _20918" align= «alignnone» width="1176"] عينة من الصور التي شاركها ممثل التهديد [/caption] [معرف التسمية التوضيحية = «المرفق _20919" align= «alignnone» width="1045"] عينة من الصور التي شاركها ممثل التهديد [/caption] [معرف التسمية التوضيحية = «المرفق _20920" align= «alignnone» width="469"] صورة نموذجية تمت مشاركتها بواسطة ممثل التهديد تعرض السجل [/caption] [معرف التسمية التوضيحية = «المرفق _20921" align= «alignnone» العرض = «1152"] صورة نموذجية للنص تمت مشاركتها بواسطة ممثل التهديد [/caption] [معرف التسمية التوضيحية = «المرفق _20922" align= «alignnone» width="1280"] صورة نموذجية لموقع ويب مزيف شاركه ممثل التهديد [/caption] [معرف التسمية التوضيحية = «المرفق _20923" align= «alignnone» width="1821"] سجل المعاملات لمحفظة ممثل التهديد [/caption]