“Inferno Zararlı Yazılımı, Coinbase Olarak Kamufle Olmuş ve 137,000 Mağdurdan 87 Milyon Dolar Çekti”

“Şu anda faaliyette olmayan Inferno Drainer’ın arkasındaki operatörler, 2022 ve 2023 yılları arasında bir yıl süresince 16,000’den fazla benzersiz kötü niyetli alan adı oluşturdular.

Singapur merkezli Group-IB tarafından paylaşılan bir rapora göre, bu plan, ‘yüksek kaliteli’ olta sayfalarını kullanarak kullanıcıları kripto para cüzdanlarını saldırganların altyapısıyla bağlamaya yönlendirmek amacıyla Web3 protokollerini taklit eden aldatıcı işlemleri yetkilendirmeye zorlamak için yüksek kaliteli olta sayfalarını kullandı.”

“Kasım 2022’den Kasım 2023’e kadar faal olan Inferno Drainer’ın, 137,000’den fazla mağduru dolandırarak 87 milyon doların üzerinde haksız kazanç elde ettiği tahmin edilmektedir.

Bu zararlı yazılım, gelirlerinin %20’si karşılığında iştirakçilere sunulan dolandırıcılık hizmeti modeli kapsamında benzer tekliflerin bir parçasıdır.

Dahası, Inferno Drainer müşterileri, zararlı yazılımı kendi dolandırıcılık sitelerine yükleyebilir veya geliştiricinin hizmetinden, bazı durumlarda hiçbir ek ücret talep etmeden veya çalınan varlıkların %30’unu tahsil ederek oluşturulması ve barındırılması için faydalanabilirdi.

Group-IB’ye göre, faaliyet, 16,000’den fazla benzersiz alan adında barındırılan özel olarak oluşturulmuş sayfalar aracılığıyla 100’den fazla kripto para markasını taklit etti.”

“Bu alan adlarının 500’ünün daha detaylı analizi, JavaScript tabanlı drainer’ın başlangıçta bir GitHub deposunda (kuzdaz.github[.]io/seaport/seaport.js) barındırıldığını, daha sonra doğrudan web sitelerine entegre edildiğini ortaya çıkardı. Kullanıcı “kuzdaz” şu anda mevcut değildir.

Benzer bir şekilde, başka bir setin içinde bulunan 350 site, “coinbase-wallet-sdk.js” adlı bir JavaScript dosyasını farklı bir GitHub deposu olan “kasrlorcian.github[.]io” üzerinde barındırıyordu.

Bu siteler daha sonra Discord ve X (önceki adıyla Twitter gibi) gibi platformlarda yayıldı ve potansiyel kurbanları ücretsiz token’lar (airdrop olarak da bilinir) sunma bahanesiyle tıklamaya teşvik etti ve cüzdanlarını bağlamalarını istedi. Bu noktada işlemler onaylandığında, varlıkları boşaltılmış oluyordu.”

“Seaport.js, coinbase.js ve wallet-connect.js adlarını kullanarak, yetkisiz işlemleri tamamlamak amacıyla Seaport, WalletConnect ve Coinbase gibi popüler Web3 protokollerini taklit etme fikri vardı. Bu betiklerden birini içeren en erken web sitesi tarihi 15 Mayıs 2023’e kadar uzanıyor.

Group-IB analisti Viacheslav Shevchenko, “Inferno Drainer’a ait olta sitelerinin başka tipik bir özelliği, kullanıcıların sıcak tuşları veya fare sağ tıklama ile web sitesi kaynak kodunu açamamalarıydı,” dedi. “Bu, suçluların betiklerini ve yasadışı faaliyetlerini kurbanlarından gizlemeye çalıştıkları anlamına gelir.”

Bu ayın başlarında Google’a ait Mandiant’in X hesabının, CLINKSINK olarak takip edilen bir kripto para drainer’ı barındıran bir dolandırıcılık sayfasına bağlantılar dağıtmak için ele geçirildiğini belirtmek önemlidir.

Group-IB’nin Yüksek Teknoloji Suçları İnceleme Departmanı Başkanı Andrey Kolmakov, “Inferno Drainer faaliyetini sona erdirmiş olabilir, ancak 2023 boyunca gösterdiği etkileyici varlık, drainer’ların daha da gelişmeye devam etmesi nedeniyle kripto para sahiplerine yönelik ciddi riskleri vurguluyor,” dedi.”