Uwaga! Fałszywa strona oferująca NFT Pixelmon instalowała złośliwy wykradacz haseł

Pixelmon to popularny projekt NFT, który pozwala grać w grę online umieszczoną w metawersum. Gracze mogą gromadzić w niej wirtualne, fantastyczne zwierzęta, a następnie trenować je i pojedynkować się z innymi osobami – tak, jak w popularnej grze Pokemon.

Projekt cieszy się dużym zainteresowaniem – według serwisu Bleeping Computer, na Discordzie obserwuje go 25 tys. użytkowników, a na Twitterze – 200 tys.

Właśnie to zainteresowanie Pixelmonem postanowili wykorzystać cyberprzestępcy, którzy podszyli się pod stronę pixelmon.club, wcześniej kopiując ją kropka w kropkę i tworząc jej złośliwą wersję w domenie pixelmon.pw.

Co chcieli osiągnąć cyberprzestępcy?

Według redakcji Bleeping Computer, fałszywa witryna powstała przede wszystkim po to, by instalować na komputerach ofiar złośliwe oprogramowanie, które było pobierane w chwili, gdy użytkownik myślał, że pobiera wersję demonstracyjną gry.

Plik instalujący malware nazywał się "setup.zip", nie budząc przy tym żadnych podejrzeń – w środku archiwum był plik "setup.lnk", uruchamiający polecenie w PowerShellu i pobierający plik "system32.hta" ze złośliwej strony.

To właśnie ten plik pobierał następnie złośliwe oprogramowanie Vidar, służące do wykradania haseł, które dziś nie jest już tak często wykorzystywane, jak jeszcze kilka lat temu.

Vidar łączy się z komunikatorem Telegram, pobiera adres IP serwera kontrolnego złośliwego oprogramowania, z którego pozyskuje całą konfigurację, a także zaczyna pobierać kolejne moduły, których zadaniem z kolei jest wykradanie dalszych danych z zainfekowanego urządzenia ofiary.

Co potrafi malware Vidar?

Przede wszystkim wykradać hasła z przeglądarek internetowych i innych aplikacji, jak i przeszukiwać komputer według zdefiniowanych parametrów – wówczas wszystkie znalezione pliki, mające np. poszukiwaną przez sprawców nazwę – są przesyłane przez Vidara na ich serwery.

W przypadku ataku przez fałszywą stronę Pixelmon Vidar wykradał hasła, kopie zapasowe plików, portfele kryptowalutowe i dane dotyczące uwierzytelniania wieloskładnikowego wykorzystywanego przez ofiary.

Chcemy być także bliżej Państwa – czytelników. Dlatego, jeśli są sprawy, które Was nurtują; pytania, na które nie znacie odpowiedzi; tematy, o których trzeba napisać – zapraszamy do kontaktu. Piszcie do nas na: [email protected]. Przyszłość przynosi zmiany. Wprowadzamy je pod hasłem #CyberIsFuture.