هشدار کلاهبرداری کریپتو: هکرها از افزونه‌های Obsidian برای استقرار بدافزار مخفی سوءاستفاده می‌کنند

خلاصه

• هکرها از افزونه‌های Obsidian برای استقرار بدافزار مخفی روی دستگاه‌ها سوءاستفاده می‌کنند
• کلاهبرداری های آنلاین جعلی سرمایه‌گذاری خطرپذیر در LinkedIn قربانیان را به سمت افزونه‌های مخرب Obsidian سوق می‌دهند
• بدافزار PHANTOMPULSE از طریق افزونه‌های Obsidian و فضاهای ذخیره‌سازی ابری گسترش می‌یابد
• کاربران کریپتو از طریق تلگرام با استفاده از حمله افزونه‌های Obsidian هدف قرار می‌گیرند
• کلاهبرداری جدید از افزونه‌های Obsidian برای دور زدن امنیت و سرقت دسترسی استفاده می‌کند

کاربران کریپتو با تهدید رو به رشدی مواجه هستند زیرا مهاجمان از افزونه‌های Obsidian برای استقرار بدافزار مخفی از طریق تاکتیک‌های مهندسی اجتماعی سوءاستفاده می‌کنند. این کمپین متخصصان مالی را هدف قرار می‌دهد و از طریق مکالمات LinkedIn و تلگرام گسترش می‌یابد. علاوه بر این، سوءاستفاده از افزونه‌های Obsidian به مهاجمان اجازه می‌دهد ابزارهای امنیتی را دور بزنند و کد مخفی را اجرا کنند.

کمپین مهندسی اجتماعی از افزونه‌های Obsidian به عنوان نقطه ورود استفاده می‌کند

مهاجمان تماس را از طریق LinkedIn آغاز می‌کنند و خود را شرکت‌های سرمایه‌گذاری خطرپذیر معرفی می‌کنند که متخصصان کریپتو را هدف قرار می‌دهند. آن‌ها بعداً مکالمات را به تلگرام منتقل می‌کنند، جایی که چندین شریک جعلی یک محیط تجاری معتبر ایجاد می‌کنند. آن‌ها اهداف را متقاعد می‌کنند تا با استفاده از افزونه‌های Obsidian به داشبوردهای مشترک دسترسی پیدا کنند.

مهاجمان Obsidian را به عنوان یک ابزار پایگاه داده مشروع برای همکاری مالی معرفی می‌کنند. آن‌ها اعتبارنامه‌های ورود به سیستم را برای دسترسی به فضای ذخیره‌سازی ابری تحت کنترل عوامل مخرب ارائه می‌دهند. پس از اینکه قربانی فضای ذخیره‌سازی را باز می‌کند، مهاجمان دستورالعمل‌هایی را برای فعال کردن همگام‌سازی افزونه‌های Obsidian ارسال می‌کنند.

این مرحله زنجیره اجرا را فعال می‌کند، زیرا افزونه‌های تروجان‌شده Obsidian به طور خاموش اسکریپت‌های مخرب را اجرا می‌کنند. این حمله از ویژگی‌های داخلی افزونه برای اجرای کد بدون ایجاد هشدار استفاده می‌کند. مهاجمان به جای استفاده از روش‌های سنتی تحویل بدافزار، از رفتار نرم‌افزار قابل اعتماد سوءاستفاده می‌کنند.

بدافزار PHANTOMPULSE تهدید چند پلتفرمی را گسترش می‌دهد

محققان امنیتی در Elastic Security Labs یک تروجان دسترسی از راه دور جدید به نام PHANTOMPULSE را شناسایی کردند. این بدافزار روی سیستم‌های Windows و macOS با مسیرهای اجرای جداگانه عمل می‌کند. از افزونه‌های Obsidian به عنوان بردار دسترسی اولیه برای استقرار بارهای مخرب استفاده می‌کند.

در Windows، بدافزار از بارگذارکننده‌های رمزگذاری شده و تکنیک‌های اجرای درون حافظه برای جلوگیری از شناسایی استفاده می‌کند. برای حفظ مخفی بودن در طول اجرا به رمزگذاری AES-256 و بارگذاری بازتابی متکی است. سیستم‌های macOS یک درپر AppleScript مبهم شده با سیستم فرمان پشتیبان دریافت می‌کنند.

PHANTOMPULSE یک سیستم فرمان غیرمتمرکز معرفی می‌کند که از تراکنش‌های بلاک چین برای ارتباطات استفاده می‌کند. دستورالعمل‌ها را از داده‌های درون زنجیره‌ای مرتبط با کیف پول در شبکه‌های متعدد بازیابی می‌کند. در نتیجه، بدافزار از وابستگی به سرورهای متمرکز اجتناب می‌کند و حتی در شرایط اختلال پایداری را حفظ می‌کند.

تهدیدات رو به رشد کریپتو نقاط ضعف در ابزارهای قابل اعتماد را برجسته می‌کنند

پلتفرم‌های کریپتو به دلیل تراکنش‌های بلاک چین غیرقابل بازگشت و کیف پول‌های با ارزش بالا، اهداف جذابی باقی می‌مانند. در سال ۲۰۲۵، مهاجمان بیش از ۷۱۳ میلیون دلار از کیف پول‌های فردی سرقت کردند که خطرات رو به رشد را برجسته می‌کند. افزونه‌های Obsidian روش جدیدی را برای دور زدن دفاع‌های استاندارد در اختیار مهاجمان قرار می‌دهند.

این کمپین نشان می‌دهد که چگونه ابزارهای مشروع بهره‌وری می‌توانند هنگام سوءاستفاده به بردارهای حمله تبدیل شوند. مهاجمان از اکوسیستم‌های افزونه برای اجرای کد دلخواه بدون فعال کردن هشدارهای امنیتی سنتی سوءاستفاده می‌کنند. سازمان‌ها باید استفاده از افزونه‌های شخص ثالث در محیط‌های حیاتی را نظارت و محدود کنند.

تیم‌های امنیتی اکنون اعمال سیاست‌های افزونه سختگیرانه و محدود کردن دسترسی به فضای ذخیره‌سازی خارجی را توصیه می‌کنند. آن‌ها همچنین تأیید منابع ارتباطی قبل از نصب یا فعال کردن افزونه‌های Obsidian را مشاوره می‌دهند. آگاهی و کنترل دفاع‌های کلیدی در برابر تهدیدات مهندسی اجتماعی در حال تکامل باقی می‌مانند.

پست هشدار کلاهبرداری کریپتو: هکرها از افزونه‌های Obsidian برای استقرار بدافزار مخفی سوءاستفاده می‌کنند ابتدا در CoinCentral ظاهر شد.