¡Alerta de phishing! Campaña de phishing dirigida a usuarios de Trezor roba criptomonedas.

Apuntando de forma inteligente

Muchas empresas proporcionan listas de correo a sus clientes. En la mayoría de los casos, esas listas no son gestionadas directamente por la empresa, sino a través de terceros. Trezor, por ejemplo, utiliza MailChimp para enviar información a sus clientes.

Ahora bien, si alguien obtiene un acceso ilegítimo a la base de datos utilizada para esta actividad de envío de correos, podría dirigirse a los clientes de las empresas sin dirigirse a los que no son clientes y fortalecer sus técnicas de ingeniería social para atraer a las víctimas.

Al parecer, esto es exactamente lo que sucedió. Según Trezor, MailChimp confirmó que su servicio ha sido comprometido por un atacante interno que apunta a empresas de criptomonedas (Figura A).

Una vez en posesión de una lista de direcciones de correo electrónico pertenecientes exclusivamente a los clientes reales de Trezor, los atacantes pasaron al siguiente paso.

El correo electrónico de phishing

Se envió un correo electrónico convincente a los clientes de Trezor que formaban parte de la base de datos de listas de correo robada de MailChimp (Figura B).

Protección antivirus en línea: McAfee Clinic lleva la seguridad de tu PC al siguiente nivel

Como se puede ver, el correo electrónico afirma que Trezor ha sufrido un incidente grave de seguridad que podría llevar al robo de activos de criptomonedas. Se indica que los usuarios afectados que reciban el correo electrónico deben descargar la última versión de Trezor Suite y seguir las instrucciones para proteger sus activos y configurar un nuevo PIN para su billetera.

El sitio web de phishing

Los usuarios que hacen clic en el enlace contenido en los correos electrónicos de phishing son redirigidos a un sitio web de phishing alojado en suite.trẹzor.com. Un ojo entrenado podría notar un pequeño punto debajo del carácter "e" de Trezor: "ẹ". Esta técnica de utilizar caracteres Unicode especiales ha sido una táctica durante años y se conoce como ataque de phishing de dominio Unicode. Y un usuario cuidadoso también podría haber notado que el sitio web real de Trezor Suite es suite.trezor.io, no .com. Estas son dos buenas razones para no hacer clic y no continuar con este fraude, pero desafortunadamente, las señales son fáciles de pasar por alto.

El sitio web falso es visualmente una copia exacta del legítimo (Figura C).

La aplicación falsa

El sitio web falso ofrece la aplicación para los sistemas operativos Windows, Linux y Macintosh.

Newsmatic descargó y probó la versión para Windows del software. Una vez lanzado, el programa solicita silenciosamente al usuario que instale Trezor Suite. Una vez ejecutado e instalado, el software se abre y muestra contenido similar al sitio legítimo. Incluso muestra un banner que advierte al usuario sobre los recientes ataques de phishing, reforzando la garantía de que se está haciendo todo lo posible para proteger a los usuarios y que todo está seguro (Figura D).

Cómo proteger tu computadora de los virus: métodos y consejos

Solo un examen cuidadoso del software descargado podría indicar que es falso. El software ha sido firmado con un certificado de una empresa finlandesa, "Neodym Oy", que podría haber sido comprometida (Figura E). Los archivos legítimos que provienen del sitio web de Trezor llevarían la firma de "SatoshiLabs, s.r.o."

Aunque parece que se necesita un gran esfuerzo para producir tal aplicación fraudulenta, en realidad es una tarea sencilla para cualquier desarrollador, ya que el código fuente de la aplicación es gratuito y está disponible en línea.

La etapa final: El robo

Después de que el usuario conecta el dispositivo Trezor a la aplicación falsa, se le solicita que ingrese la frase de recuperación de la billetera, que se envía a los ciberdelincuentes. Una vez en posesión de la frase de recuperación, es fácil utilizarla para robar los activos de criptomonedas.

Cómo protegerse de este tipo de amenazas

Los usuarios siempre deben actualizar su software desde el sitio web del proveedor legítimo. Nunca deben utilizar ningún enlace proporcionado en un correo electrónico. Los proveedores responsables no enviarán enlaces por correo electrónico a sus usuarios cuando se trate de actualizaciones de software.

La URL del proveedor siempre debe comprobarse cuidadosamente. En el caso reportado aquí, los ciberdelincuentes utilizaron suite.trẹzor.com en lugar de suite.trezor.io.

¡Defiéndete! Protege tu seguridad en línea contra amenazas críticas

También es buena idea guardar la URL legítima en los marcadores del navegador y confiar únicamente en este marcador, nunca en los correos electrónicos.

En cuanto a las billeteras de criptomonedas hardware de Trezor, la frase de recuperación nunca debe escribirse en ningún software o sitio web. Solo debe escribirse en el dispositivo.

Si queda alguna duda, los usuarios deben comunicarse con el proveedor para obtener más información.

Además, se recomienda utilizar una dirección de correo electrónico dedicada para cada lista de correo diferente. De esta manera, se puede conocer de inmediato la fuente de una fuga de datos y se puede proporcionar una buena advertencia a un usuario que de repente reciba contenido no relacionado en una dirección de correo electrónico que solo utilizó con un propósito específico.

Por último, los usuarios siempre deben mantener actualizados sus sistemas operativos y software, ya que existen otras formas de robar activos de criptomonedas de las computadoras y cada vez más malware tiene funcionalidades de robo de billeteras.

Estas mejores prácticas de ciberseguridad deberían incluirse en sus sesiones de concienciación y capacitación de seguridad.

Protege tus contraseñas con PAM: Tu aliado para la seguridad

Actualización

El banner naranja en la aplicación falsa ha cambiado y ahora muestra un banner rojo que indica que el software que se está ejecutando es falso y que el usuario debe salir del programa de inmediato (Figura F).

Como se puede ver, los ciberdelincuentes no modificaron el código real que obtiene el contenido del banner de Trezor. Parece que Trezor aprovechó esta oportunidad para cambiar el contenido del banner para que la aplicación fraudulenta advierta a los usuarios que la ejecutan.

En Newsmatic nos especializamos en tecnología de vanguardia, contamos con los artículos mas novedosos sobre Seguridad, allí encontraras muchos artículos similares a ¡Alerta de phishing! Campaña de phishing dirigida a usuarios de Trezor roba criptomonedas. , tenemos lo ultimo en tecnología 2023.