حملة “ساتاكوم” لسرقة العملات المشفرة

حملة “ساتاكوم” لسرقة العملات المشفرة

اكتشفت كاسبرسكي أنه يتم استخدام امتداد خبيث لثلاثة من المتصفحات،
وهي: Chrome و Brave و Opera لسرقة العملات المشفرة من الضحايا ضمن حملة “ساتاكوم” Satacom.
وتعرض ما يقرب من 30 ألف مستخدم لخطر الاستهداف خلال الشهرين الماضيين.

ونفذ المهاجمون مجموعة من الإجراءات الخبيثة لضمان بقاء الامتداد خفياً وغير مكتشف، في الوقت الذي يبقى فيه المستخدم

يتصفح مواقع تبادل العملات المشفرة المستهدفة بطمأنينة، بما في ذلك Coinbase و Binance.
ويتيح الامتداد لجهات التهديد إخفاء أي إشعارات معاملات يتم إرسالها إلى الضحية من قبل هذه المواقع،

لسرقة عملاتهم المشفرة. ويمكن الاطلاع على تقرير مفصل عن هذه الحملة على Securelist.
وترتبط الحملة الأخيرة بـ Satacom downloader،
وهي مجموعة برامج خبيثة سيئة السمعة ونشطة منذ العام 2019، ويتم نشرها بشكل أساسي عبر الإعلانات الخبيثة

التي يتم نشرها على المواقع الإلكترونية التابعة لجهات خارجية.
وتعمل الروابط أو الإعلانات الخبيثة على إعادة توجيه المستخدمين إلى خدمات مشاركة الملفات المزيفة والصفحات الخبيثة الأخرى

التي تعرض تنزيل أرشيف يحتوي على برنامج Satacom Downloader.
وفي حالة هذه الحملة الأخيرة، يقوم المستخدم بتنزيل امتداد المتصفح الخبيث.
أحدث حملة تقوم بتثبيت ملحق للمتصفح لسرقة العملات المشفرة وإخفاء نشاطها
يتمثل الهدف الأساسي للحملة في سرقة عملة البيتكوين من حسابات الضحايا،

حيث يتم ذلك عن طريق إجراء عمليات حقن إلكترونية لمواقع العملات المشفرة المستهدفة.
ومع ذلك، يمكن تعديل البرامج الخبيثة بسهولة لاستهداف العملات المشفرة الأخرى. وتسعى هذه البرامج

لتحقيق هدفها من خلال تثبيت امتداد للمتصفحات القائمة على Chromium، ومنها على سبيل المثل Chrome و Brave و Opera،

ومن ثم استهداف المستخدمين من الأفراد الذين يمتلكون عملات مشفرة في جميع أنحاء العالم.

وتبيّن من خلال قراءات كاسبرسكي تعرّض ما يقرب من 30 ألف شخص لخطر الاستهداف من الحملة خلال شهري أبريل ومايو،.

وضمت قائمة الدول الأكثر تضرراً من هذا التهديد خلال الشهرين الماضيين، كلاً من البرازيل والمكسيك والجزائر وتركيا والهند وفيتنام وإندونيسيا.
البرازيل 3996
المكسيك 2056
الجزائر 1790
تركيا 1418
الهند 1127
فيتنام 1010
إندونيسيا 1003
ترتيب الدول من حيث عدد المستخدمين المتأثرين بالهجمات خلال أبريل ومايو 2023

ويعمل الامتداد الخبيث على معالجة المتصفح في أثناء قيام الشخص بتصفح مواقع تبادل العملات المشفرة المستهدفة.

وتستهدف الحملة مستخدمي منصات Coinbase و Bybit و Kucoin و Huobi و Binance.
وإلى جانب سرقة العملة المشفرة، يقوم الامتداد بإجراءات إضافية لإخفاء نشاطه الأساسي،

ومنها على سبيل المثال إخفاء الرسائل التأكيد الإلكتروني للمعاملات،

وتعديل سلاسل البريد الإلكتروني الحالية من مواقع العملات المشفرة لإنشاء سلاسل رسائل وهمية تحاكي الحقيقية إلى حد بعيد.