Falsa app de Coinbase busca robar frase semilla de billeteras

Falsa aplicación de Coinbase que se distribuye a través de sitios falsos, tiene como objetivo robar las credenciales de las billeteras

No es una novedad que los cibercriminales están interesados en el robo de criptomonedas de las personas y que en muchos casos utilizan malware para robar credenciales de billeteras de criptomonedas. Esto lo vimos recientemente con una campaña que apuntaba a usuarios de Android e iOS con aplicaciones troyanizadas de una gran cantidad apps de billeteras legítimas. Pero en esta oportunidad, compartimos un nuevo ejemplo.

A principios de agosto se reportó una página web que se hacía pasar por el sitio oficial de Coinbase, una plataforma de comercio de criptomonedas muy popular en la actualidad. Si bien la URL del sitio, que ya fue dado de baja, no contaba con certificado HTTPS, el diseño era una copia casi perfecta del oficial, tal como se observa en las siguientes imágenes. Sin embargo, era una copia fiel de la versión anterior del sitio de Coinbase y contaba con varios enlaces que redirigían al sitio legítimo, a excepción de la aplicación a descargar.Este sitio falso ofrece para su descarga la aplicación de Coinbase.apk de forma directa, sin redirigir a la persona a Google Play.En cambio, en el sitio oficial la opción de descargar la app de billetera redirige al usuario a la Play Store de Google, tal como se observa en la siguiente imagen:Esta aplicación es una versión troyanizada de la billetera de Coinbase y está contenida en un paquete que utiliza el mismo nombre que la app oficial, que es  “org.toshi”.

Al realizar el análisis dinámico sobre la app observamos que la misma actúa de la igual que la aplicación oficial de Coinbase. Sin embargo, la aplicación maliciosa brinda la opción al usuario de iniciar sesión ingresando la frase semilla de la billetera. Luego de ingresar la frase semilla solicita crear un nombre de usuario junto con una clave numérica.

Durante el análisis de la app se interceptó el tráfico al momento de ingresar la frase semilla, y observamos que el propósito principal de la aplicación troyanizada es enviar la frase que ingresa la persona a servidores controlados por los atacantes. Para realizar esto los atacantes añadieron dos dominios cifrados: infura[.]me y rus-coinbase[.]com.

Cada vez más se observan campañas de phishing diseñadas para distribuir aplicaciones y extensiones para el navegador maliciosas que buscan robar esta información. Principalmente campañas que incluyen enlaces a sitios falsos que se hacen pasar por varis de estos servicios de billeteras de criptomonedas con el objetivo de robar la frase semilla o clave de recuperación.

Información completa: welivesecurity.com

Comments are closed.

Este sitio web utiliza cookies para que usted tenga la mejor experiencia de usuario. Si continúa navegando está dando su consentimiento para la aceptación de las mencionadas cookies y la aceptación de nuestra política de cookies, pinche el enlace para mayor información.

ACEPTAR
Aviso de cookies