Специалисты SlowMist обнаружили вредоносное ПО для macOS, которое перехватывает сессии Telegram Desktop, обходя двухфакторную аутентификацию.
Злоумышленники собирают cookie-файлы Safari, заметки Apple и данные расширений браузера, а затем используют украденные пароли для доступа к криптокошелькам и кражи сид-фраз.
Вредоносная программа выходит за рамки обычной кражи паролей: она собирает все возможные данные для захвата учётной записи и доступа к криптоактивам.
Копируя данные активных сессий Telegram, хакеры восстанавливают сессию на другом устройстве без ввода номера телефона, кода подтверждения или пароля 2FA.
2FA становится бесполезной, так как злоумышленники используют уже доверенную локальную сессию.
Получив доступ к аккаунту Telegram, хакеры могут читать переписку, выдавать себя за жертву и распространять вредоносные ссылки.
Вредоносная программа нацелена на кошельки Exodus, Atomic, Electrum, Wasabi и Monero, а также на приложения Ledger Live и Trezor Suite.
Программа также ищет данные клиентов с полными узлами: Bitcoin Core, Litecoin Core, Dash Core и Dogecoin Core.
Заражённое ПО способно заменять приложения Ledger и Trezor поддельными версиями, где пользователи вводят свои сид-фразы.
Рекомендации специалистов
- Завершить активные сеансы в Telegram и установить новый логин.
- Изменить пароль для двухфакторной аутентификации.
- Генерировать новую сид-фразу только на чистом устройстве.
- Перевести активы на новые адреса, не созданные на скомпрометированном устройстве.
- Не хранить пароли и личные переписки на одном устройстве.
Ранее специалисты Kaspersky рассказали о вредоносной программе OkoBot, крадущей учётные данные и сид-фразы через Trezor Suite и Ledger.