Nie powstrzymało to jednak napastnika, który zorganizował kampanię wymierzoną w uczestników branżowych wydarzeń. Do próby infekcji urządzeń badaczy wykorzystano powszechnie zaufane narzędzia, w tym pliki Google Docs oraz rzekome zaproszenie na wydarzenie związane z rynkiem kryptowalut.
Podstęp na platformie X i manipulacja w usłudze Google Docs
Kampania cyberataków została zidentyfikowana w okresie odbywających się na początku miesiąca konferencji hakerskich Black Hat oraz Def Con. Napastnik podszywał się pod pracownika jednego z wiodących serwisów informacyjnych branży krypto. Za pośrednictwem platformy społecznościowej X nawiązywał kontakt ze specjalistami, publikując publiczne odpowiedzi oraz wysyłając wiadomości prywatne.
Firma Huntress, zajmująca się ochroną cybernetyczną, opublikowała analizę tego incydentu. Jeden z jej badaczy, po otrzymaniu wiadomości pisanej łamanym językiem angielskim z pytaniem o plany wyjazdowe na kolejne wydarzenie, postanowił wejść w interakcję z hakerem, aby poznać jego metody działania.
W trakcie rozmowy cyberprzestępca udostępnił autentyczny dokument Google Docs, który sprawiał wrażenie planu organizacyjnego fikcyjnej konferencji krypto. Aby uwiarygodnić oszustwo, w pliku umieszczono panel boczny sugerujący, że treść jest zaszyfrowana. Zadaniem ofiary było wprowadzenie podanego przez hakera fałszywego klucza odszyfrowującego. Był to pierwszy etap procedury, której celem było doprowadzenie do instalacji złośliwego oprogramowania na urządzeniach końcowych.
Wykorzystanie narzędzi programistycznych do zainfekowania systemów
Do stworzenia przekonującego interfejsu wewnątrz dokumentu wykorzystano platformę Google App Script. Rozwiązanie to pozwala programistom na dostosowywanie interfejsu użytkownika w usłudze Google Docs, w tym na dodawanie niestandardowych menu oraz paneli bocznych. Mechanizm ten posłużył do uśpienia czujności atakiwanych badaczy.
Celem napastnika było wprowadzenie do systemów ofiar różnego rodzaju złośliwego kodu, dostosowanego do używanego systemu operacyjnego:
- w przypadku komputerów z systemem macOS: próba zainstalowania oprogramowania typu infostealer, przeznaczonego do kradzieży danych,
- w przypadku systemów Windows: próba wdrożenia narzędzia do zdalnego podglądu pulpitu, które zostało zmodyfikowane i wykorzystane jako złośliwe oprogramowanie,
- dodatkowo: próba skłonienia do instalacji fałszywego instalatora portfela kryptowalutowego Ledger.
Skomplikowane metody i zaufane środowisko
Ataki na ekspertów do spraw bezpieczeństwa nie są nowym zjawiskiem w sieci. W przeszłości podobne działania prowadziły zarówno nieznane grupy rządowe wykorzystujące zaawansowane oprogramowanie szpiegujące, jak i północnokoreańscy hakerzy posługujący się fałszywymi profilami w mediach społecznościowych. To, co wyróżniało opisaną kampanię na tle innych, to wykorzystanie legalnego dokumentu Google Docs oraz oficjalnych funkcji udostępnianych przez Google, co znacząco podnosiło wiarygodność przygotowanego podstępu.
Osoba obsługująca konto na platformie X, z którego kontaktowano się z badaczami, nie odpowiedziała na zapytania prasowe. Firma Google również nie przekazała natychmiastowego komentarza w sprawie zidentyfikowanego incydentu ani podobnych kampanii wykorzystujących jej infrastrukturę.
