Аккаунт Inside Calls опубликовал дополнительные детали инцидента. Согласно его данным, вредоносный сайт имитировал проверку Cloudflare и предлагал пользователю открыть системное окно Windows, вставить заранее скопированную команду и выполнить ее.
На опубликованном скриншоте инструкция включает последовательность Win + R, Ctrl + V и Enter. В отличие от классического криптовалютного дрейнера, такая схема не обязательно требует подключения кошелька или подписания вредоносной транзакции — пользователь самостоятельно запускает код на своем устройстве.
Inside Calls первоначально заявил, что инцидент произошел во время попытки использовать мост в экосистеме Arc. Однако cladzsol позднее уточнил в комментариях, что атака не была связана с Arc.
Описанный механизм соответствует технике социальной инженерии ClickFix. Microsoft ранее фиксировала кампании, в которых злоумышленники имитировали Cloudflare Turnstile, автоматически копировали вредоносную команду в буфер обмена и убеждали пользователя выполнить ее через Windows Run или PowerShell.
Inside Calls также заявил о распространении аналогичных фишинговых ссылок через страницы мемкоинов. Технически такой сценарий возможен, поскольку профили токенов на агрегаторах могут содержать внешние ссылки на сайты и социальные сети. Например, API DEX Screener отдельно предусматривает такие ссылки в профилях токенов.
При этом независимых подтверждений того, что cladzsol перешел на вредоносный ресурс именно через профиль мемкоина или агрегатор, на момент написания материала нет.
Ранее мы сообщали о волне фишинговых атак, направленной против пользователей Trezor. В компании связали ее со взломом стороннего email-провайдера.
incrypted.com
