Crypto-investeerders liggen onder vuur van nieuwe malware

Malwarebytes, de anti-malwaresoftware, heeft de aandacht gevestigd op 2 nieuwe schadelijke computerprogramma’s die door onbekende bronnen worden verspreid en zich specifiek richten op crypto-investeerders in een desktopomgeving.

Twee kwaadaardige bestanden

Het gaat om 2 kwaadaardige bestanden onder de naam ‘MortalKombat-ransomware’ en ‘Laplas Clipper-malware’. Deze malware gaat actief op zoek naar cryptocurrencies van onoplettende investeerders, die ze vervolgens van ze stelen. Naar verluidt zijn de malware sinds december van 2022 actief.

De slachtoffers van de campagne bevinden zich voornamelijk in de Verenigde Staten (VS), met een kleiner percentage slachtoffers in het Verenigd Koninkrijk (VK), Turkije en de Filippijnen.

De schadelijke software werkt naar verluidt samen om informatie te verzamelen die opgeslagen is op het klembord van de gebruiker. Dit betreft vaak een reeks letters en cijfers die door de gebruiker gekopieerd zijn. Vervolgens detecteert de malware crypto-adressen die gekopieerd zijn naar het klembord en vervangt deze door een ander adres.

Deze aanval is gebaseerd op het feit dat gebruikers vaak niet opletten of het wallet-adres van de afzender klopt. Hierdoor zou de gebruiker cryptocurrencies naar een onbekende aanvaller sturen. De aanval heeft geen duidelijk doelwit en richt zich hierdoor op individuen, kleine en grote organisaties.

Bestanden van slachtoffer worden versleuteld

Wanneer een computer eenmaal geïnfecteerd is, worden de bestanden van de gebruiker door de MortalKombat-ransomware versleuteld. Vervolgens wordt er een losgeldbrief met betalingsinstructies getoond. Een rapport van Cisco Talos onthulde de downloadlinks (URL’s) die aan de aanvalscampagne waren gekoppeld:

Eén van hen bereikt een door een aanvaller gecontroleerde server via IP-adres 193[.]169[.]255[.]78, gevestigd in Polen, om de MortalKombat-ransomware te downloaden. Volgens de analyse van Talos draait 193[.]169[.]255[.]78 een RDP-crawler die het internet scant op blootgestelde RDP-poort 3389.

Het gaat hier om een relatief vroege detectie van kwaadaardige software dat een hoog potentieel heeft. Hierdoor kunnen investeerders proactief voorkomen dat ze door deze aanval getroffen worden, wat op zijn beurt weer een win is.

Het is als slot benoemingswaardig dat alhoewel het aantal crypto gerelateerde malware-aanvallen lijken te stijgen, veel slachtoffers ervoor kiezen om de afpersingsverzoeken niet te betalen. Hierdoor daalde in het afgelopen jaar de inkomsten van ransomware-aanvallen met zo’n 40%.