Cibercriminales atacan a investigadores de seguridad con una conferencia de criptomonedas falsa

Investigadores de seguridad se convirtieron en blanco de un ataque cibernético que utilizó una conferencia de criptomonedas falsa como señuelo. Un hacker, que se hacía pasar por un empleado de un destacado sitio de noticias de criptomonedas, contactó a profesionales de ciberseguridad durante las conferencias Black Hat y Def Con a principios de agosto. Utilizó la red social X para enviar mensajes directos y respuestas públicas a los asistentes, intentando engañarlos para que instalaran malware a través de documentos de Google.

El miércoles, la firma de seguridad Huntress publicó un blog detallando la campaña de hacking, que apuntó a uno de sus investigadores. Este investigador decidió fingir interés en el ataque para entender mejor las tácticas del hacker. Durante la conversación, el hacker, que se comunicó en inglés roto, preguntó si el investigador asistiría a la conferencia y mencionó un evento supuestamente organizado por el sitio de noticias de criptomonedas.

Posteriormente, el hacker compartió un documento de Google legítimo que parecía ser un plan para la conferencia falsa. Este documento incluía una barra lateral diseñada para hacer creer al objetivo que estaba encriptado. El objetivo era engañarlo para que ingresara una clave de desencriptación falsa, lo que llevaría a la instalación de malware en sistemas operativos macOS y Windows.

Para hacer que la barra lateral pareciera auténtica, el hacker utilizó Google App Script, una plataforma que permite a los desarrolladores personalizar la interfaz de usuario de Google Docs con menús y barras laterales.

El hacker intentó engañar al investigador de Huntress para que instalara un infostealer para computadoras Apple, una herramienta de visualización de escritorio remoto reutilizada como malware para Windows y un instalador falso para la billetera de criptomonedas Ledger.

La persona detrás de la cuenta identificada por los investigadores de Huntress como el hacker no respondió cuando TechCrunch le envió un mensaje privado en X.

Los hackers de todo tipo, ya sean hackers gubernamentales desconocidos que utilizan spyware avanzado o hackers gubernamentales norcoreanos que utilizan perfiles falsos en Twitter, han atacado anteriormente a profesionales de ciberseguridad. Lo que hizo que esta campaña fuera un poco más creíble fue el uso de un documento de Google legítimo y una característica de Google.

Google no respondió de inmediato cuando TechCrunch se puso en contacto para preguntar si la empresa había observado esta o campañas de hacking similares.