کمپین «Crypto Clipper» با سوءاستفاده از نظرات جعلی، روایت‌های هوش مصنوعی و اعتبارسازی در VirusTotal

بر اساس گزارش جدید Check Point Research، یک عامل تهدید ناشناس در حال اجرای کمپینی پیچیده برای توزیع بدافزار «Crypto Clipper» است؛ بدافزاری که با استفاده از مهندسی اجتماعی و جعل اعتبار در پلتفرم‌های معتبر، کاربران را هدف قرار می‌دهد.

شبکه گسترده تبلیغ و فریب در چندین پلتفرم

بررسی‌ها نشان می‌دهد مهاجم از مجموعه‌ای هماهنگ از کانال‌ها برای تبلیغ ابزارهای آلوده خود استفاده می‌کند. این زیرساخت شامل صفحات فیشینگ مبتنی بر WordPress، پروژه‌هایی در GitHub و SourceForge، یک کانال یوتیوب، و همچنین حساب‌های جعلی در VirusTotal است.

هدف این شبکه، ایجاد یک «اکوسیستم اعتبار جعلی» است که در آن ابزارهای مخرب از طریق امتیازهای پنج‌ستاره، نظرات مثبت ساختگی، و ویدیوهای آموزشی شبه‌حرفه‌ای، مشروع و قابل اعتماد جلوه داده می‌شوند.

سوءاستفاده از پلتفرم‌های اعتماد عمومی طبق گزارش Check Point، این عامل تهدید از الگوی مشابه برندهای معتبر برای افزایش اعتماد کاربران استفاده می‌کند؛ از جمله افزایش مصنوعی تعداد دانلودها، انتشار بازخوردهای مثبت هماهنگ‌شده و تبلیغات چندپلتفرمی در محیط‌هایی که کاربران به آن‌ها اعتماد دارند.

همچنین در برخی پروژه‌ها، نشانه‌هایی از دستکاری آمار مشاهده شده است؛ برای مثال در SourceForge تعداد دانلودها به بیش از 44 هزار مورد رسیده که بخش قابل توجهی از آن‌ها به‌صورت غیرعادی از دستگاه‌های اندرویدی ثبت شده‌اند، در حالی که نرم‌افزار تنها برای ویندوز و macOS ارائه شده است.

بدافزار Clip‌per و هدف آن بدافزار مورد استفاده در این کمپین که با زبان Rust توسعه یافته، سیستم‌های ویندوز و macOS را هدف قرار می‌دهد. این بدافزار به‌طور مداوم محتوای کلیپ‌بورد کاربر را بررسی کرده و در صورت شناسایی آدرس کیف پول ارز دیجیتال، آن را با آدرس کنترل‌شده توسط مهاجم جایگزین می‌کند. در نتیجه، تراکنش‌های مالی به‌طور ناخواسته به حساب مهاجم هدایت می‌شوند.

دستکاری اعتبار در VirusTotal و GitHub یکی از جنبه‌های قابل توجه این کمپین، تلاش برای دستکاری سیستم‌های ارزیابی اعتبار مانند VirusTotal است. مهاجم با استفاده از حساب‌های هماهنگ، اقدام به ثبت رأی مثبت و نظرات گمراه‌کننده می‌کند تا فایل‌های مخرب امن به نظر برسند.

در GitHub نیز حداقل چندین حساب جعلی برای انتشار و تبلیغ این پروژه‌ها مورد استفاده قرار گرفته‌اند. برخی از این مخازن دارای صدها ستاره و ده‌ها فورک هستند که بخشی از آن‌ها احتمالاً به‌صورت مصنوعی ایجاد شده‌اند.

استفاده از محتوای تولیدشده با هوش مصنوعی این کمپین همچنین از ویدیوهای آموزشی در یوتیوب بهره می‌برد که با روایت‌گرهای تولیدشده توسط هوش مصنوعی ساخته شده‌اند و با نظرات مثبت ساختگی همراه هستند. این کانال‌ها با ادعای «آموزشی بودن» تلاش می‌کنند اعتماد کاربران را جلب کنند.

تبلیغ از طریق رسانه‌های رسمی بررسی‌ها نشان می‌دهد حتی از سرویس‌های انتشار بیانیه مطبوعاتی مانند EIN Presswire برای تبلیغ این ابزارها استفاده شده است. این محتوا سپس در برخی وب‌سایت‌های خبری معتبر نیز بازنشر شده و به افزایش مشروعیت ظاهری آن کمک کرده است.

جمع‌بندی کارشناسان امنیتی هشدار می‌دهند این نوع حملات نشان‌دهنده تغییر رویکرد جدی در توزیع بدافزار است؛ جایی که مهاجمان به جای اتکا به روش‌های سنتی، از ساختارهای پیچیده «اعتبارسازی جعلی» در چندین پلتفرم برای فریب کاربران استفاده می‌کنند.

به گفته Check Point، این مدل حملات می‌تواند در آینده برای توزیع بدافزارهای خطرناک‌تر مانند سرقت‌کننده‌های اطلاعات یا باج‌افزارها نیز به‌کار گرفته شود.