Специалисти разкриха операциите на престъпна схема, откраднала милиони

Insikt Group, изследователското звено към компанията за сигурност Recorded Future, публикува доклад за дейността на влиятелна киберпрестъпна банда.

Crazy Evil води началото си от 2001 и се рекламират, като „проект номер едно в NFT измамата“. Именно криптоентусиасти, гейм акаунти със скъпоструващи активи, криптоинфлуенсъри и др. са най-честите им цели. По данни на Insikt, жертвите на дейността на групата са десетки хиляди по цял свят, а загубите се равняват на милиони долари. Crazy Evil има стройна структура, като освен шестте специализирани екипа, с които работи, си взаимодейства с други престъпни банди, „партньори“, на които отдават зловреден код и набира членове. От действията на Crazy Evil личи, че групата има задълбочени познания във функционирането на Web3 икономиката, хардуерните портфейли и криптотехнологиите.

Crazy Evil са също така и пример за все по-голямата професионализация в киберпрестъпното пространство. Групата е съставена от умели „трафери“, които доставят софтуер за кражба на данни. С „трафер“ (рус.“траффер“) се обозначава човек, който пренасочва интернет потребителите към конкретни страници/предложения в Интернет. За тази цел те използват различни методи от социалното инженерство, SEO оптимизация и др.

Пример за операциите на „трафер“ банда. Изображение: Secoia:

В случая на Crazy Evil, крайната цел е да се инсталира на системата на жертвата зловреден софтуер, който краде информация. Операциите им са многоплатформени, като засягат, както macOS, така и Windows. В първия случай бива доставена програма от семейството на Atomic, а във втория – най-често зловред с името Stealc. Програмата е сравнително млада. Stealc се разпространява от 2023 и се предлага под формата на „софтуер, като услуга“. Разчитаща на гъвкави настройки и модулната си природа, чрез Stealc хакерите крадат данни от браузърите и разширенията им, криптопортфейли и програми.

Crazy Evil имат и специална обучителна програма и подробни ръководства за по-неумелите кандидат-членове. Insikt Group привеждат, че Telegram групата на бандата е с над 4000 активни последователи. Това говори и за мащаба на операциите им. Членове и „партньори“ на Crazy Evil има по цял свят, но Recorded Future смята, че повечето от тях са в Източна Европа. От Insikt Group са засекли и поне десет активни кампании на групата и конкретни програми.

• Rocket Galaxy – фалшива игра.
• TyperDex – зловредна програма, рекламирана, като софтуер за продуктивност, използващ изкуствен интелект.
• DeMeet – софтуер, представян като платформа за колективна разработка, с гласов чат, планиране на събитията и др.
• Фалшиви версии на Zoom и WeChat.
• Selenium Finance – софтуер, имитиращ платформа за управлението на дигитални активи. 
• Gatherum – фалшиво приложение за виртуални срещи. 
• Voxium, - зловредна програма, представяна като инструмент за комуникация, създаден на блокчейна на Solana.

Recorded Future са скептични относно разбиването на криминалната банда и операциите им. За това пречи силното им присъствие в даркуеб форумите и добрата комуникация с други хакерски организации, както и защитата на кода на програмите, което пречи на ефективния анализ.

Пълният текст на доклада на компанията може да намерите тук (pdf).