Người dùng Cardano đang gặp nguy hiểm: Cách lừa đảo qua email và phần mềm độc hại đe dọa ví của bạn

Một chiến dịch tấn công tinh vi đang nhắm vào người dùng tiền điện tử Cardano thông qua phối hợp phishing và phân phối phần mềm độc hại. Các tội phạm mạng giả danh đội ngũ ví Eternl Desktop hợp pháp, lợi dụng email lừa đảo để dụ người dùng tải xuống trình cài đặt độc hại, cho phép truy cập từ xa toàn bộ hệ thống. Mối đe dọa đa lớp này kết hợp kỹ thuật xã hội với các phương pháp xâm nhập điểm cuối tiên tiến.

Chiến dịch lừa đảo giả mạo Ví Eternl qua các liên lạc gian lận

Kẻ tấn công đã phát động một chiến dịch phishing phối hợp bằng cách giả danh thành viên đội ngũ Eternl qua các email được thiết kế chuyên nghiệp. Những tin nhắn giả này quảng bá một phiên bản ví để bàn không tồn tại, đồng thời tuyên bố cung cấp phần thưởng tiền điện tử độc quyền, cụ thể là token NIGHT và ATMA. Các liên lạc giả mạo này nhấn mạnh các tính năng sai lệch như quản lý khóa cục bộ và khả năng tương thích ví phần cứng—chi tiết sao chép từ các thông báo chính thức của Eternl.

Các email này thể hiện sự chuyên nghiệp với nội dung đúng ngữ pháp và không có lỗi chính tả rõ ràng, tạo cảm giác chân thực làm tăng khả năng người dùng sẽ tương tác. Người nhận được hướng dẫn nhấp vào liên kết dẫn đến một tên miền mới đăng ký: download(dot)eternldesktop(dot)network. Theo nhà nghiên cứu mối đe dọa Anurag, các kẻ tấn công đã bỏ nhiều công sức để bắt chước phong cách truyền thông chính thức và định vị sản phẩm nhằm vượt qua sự hoài nghi của người dùng.

Chiến lược lừa đảo cốt lõi xoay quanh sự cấp bách và phần thưởng. Bằng cách hứa hẹn phần thưởng token và trình bày “phiên bản ví mới” như một cơ hội độc quyền, kẻ tấn công khai thác sự tò mò tự nhiên của cộng đồng Cardano. Khi người dùng nhấp vào, họ sẽ thấy các lời nhắc tải xuống tệp trình cài đặt MSI—đây là điểm mở đầu cho sự xâm nhập thực sự.

Cơ chế phân phối phần mềm độc hại: Trojan truy cập từ xa ẩn trong trình cài đặt

Trình cài đặt độc hại, có tên Eternl.msi (băm tệp: 8fa4844e40669c1cb417d7cf923bf3e0), chứa tiện ích LogMeIn Resolve đã đóng gói. Khi chạy, trình cài đặt này sẽ thả ra một tệp thực thi có tên “unattended updater.exe”—một phiên bản mã hóa của GoToResolveUnattendedUpdater.exe. Tệp thực thi này là payload phần mềm độc hại thực sự chịu trách nhiệm xâm nhập hệ thống.

Sau khi cài đặt, Trojan tạo ra một cấu trúc thư mục cụ thể trong Program Files và ghi nhiều tệp cấu hình, bao gồm unattended.json và pc.json. Cấu hình unattended.json kích hoạt khả năng truy cập từ xa mà không có sự nhận thức hoặc đồng ý của người dùng. Điều này cho phép kẻ tấn công thiết lập kết nối liên tục tới hệ thống của nạn nhân, kiểm soát hoàn toàn các tệp, tiến trình và liên lạc mạng.

Phân tích lưu lượng mạng cho thấy hệ thống bị xâm nhập cố gắng thiết lập kết nối tới hạ tầng command-and-control của GoTo Resolve, cụ thể là các thiết bị-iot.console.gotoresolve.com và dumpster.console.gotoresolve.com. Phần mềm độc hại truyền dữ liệu quét hệ thống dưới dạng JSON, tạo ra một cửa hậu cho phép các mối đe dọa thực thi lệnh tùy ý và trích xuất dữ liệu nhạy cảm.

Nhận diện các dấu hiệu cảnh báo trước khi cài đặt

Người dùng có thể nhận biết và tránh khỏi cuộc tấn công này bằng cách kiểm tra một số chỉ báo cảnh báo. Việc tải xuống ví hợp pháp chỉ nên thực hiện từ các trang web chính thức của dự án hoặc các kho lưu trữ đáng tin cậy—các tên miền mới đăng ký là dấu hiệu cảnh báo ngay lập tức. Các kênh phân phối chính thức của Eternl không bao gồm các chiến dịch email không mong muốn cung cấp phần thưởng token.

Trước khi cài đặt, người dùng nên xác minh chữ ký tệp và giá trị băm so với các thông báo chính thức. Sự hiện diện của các tệp thực thi không ký hoặc băm mã hóa không khớp cho thấy có sự can thiệp. Ngoài ra, phần mềm ví hợp pháp không yêu cầu quyền cao hoặc tạo ra các thư mục hệ thống và tệp cấu hình ẩn trong quá trình cài đặt.

Các thực hành bảo mật tốt nhất cho người dùng Cardano bao gồm: xác minh địa chỉ email người gửi so với danh sách liên hệ chính thức, kiểm tra URL để phát hiện các lỗi chính tả tinh vi hoặc đăng ký tên miền đáng ngờ, tránh tải xuống từ các liên kết email, và duy trì phần mềm chống virus cập nhật để phát hiện các Trojan truy cập từ xa như payload dựa trên LogMeIn.

Học hỏi từ các trò lừa đảo tương tự: Tiền lệ Meta

Mô hình tấn công này gần như phản ánh một chiến dịch phishing trước đó nhắm vào người dùng Meta Business. Trong vụ việc đó, nạn nhân nhận được email cáo buộc tài khoản quảng cáo của họ bị đình chỉ do vi phạm quy định của EU. Các tin nhắn sử dụng thương hiệu Meta chính thống và ngôn ngữ chính thức để tạo độ tin cậy. Người dùng nhấp vào liên kết sẽ được dẫn đến các trang đăng nhập giả mạo của Meta Business, nơi họ bị yêu cầu nhập thông tin đăng nhập. Một trò chuyện hỗ trợ giả mạo sau đó hướng dẫn nạn nhân qua một “quy trình khôi phục” nhằm thu thập thông tin xác thực của họ.

Các điểm tương đồng về cấu trúc giữa chiến dịch Meta và cuộc tấn công này vào Cardano cho thấy một bộ quy trình tấn công ngày càng tinh vi: giả danh thương hiệu đáng tin cậy, tạo cảm giác cấp bách giả, thu thập thông tin đăng nhập hoặc phát tán phần mềm độc hại, và khai thác lòng tin của người dùng vào các liên lạc chính thức. Nhận thức về các chiến thuật này giúp tăng cường khả năng phòng thủ trong cộng đồng tiền điện tử và các tài sản kỹ thuật số rộng lớn hơn.

Các nhà nghiên cứu an ninh khuyến nghị tất cả các thành viên trong hệ sinh thái Cardano duy trì cảnh giác, xác minh nguồn gốc độc lập và báo cáo các liên lạc đáng ngờ tới các đội ngũ an ninh chính thức.