Як шкідливе ПЗ SpyAgent використовує OCR для викрадення відновлювальних ключів криптовалютних гаманців

Основні висновки

• SpyAgent — це нове шкідливе програмне забезпечення, яке використовує технологію оптичного розпізнавання символів (OCR) для отримання конфіденційних даних, особливо відновлювальних ключів криптовалютних гаманців, зображень, збережених на комп’ютерах та мобільних телефонах.
• SpyAgent працює безшумно, обходячи традиційні методи виявлення шкідливих програм, і становить серйозну загрозу для власників криптовалюти.
• Скануючи знімки екрана або фотографії за допомогою OCR, SpyAgent може викрасти відновлювальні ключі, надаючи зловмисникам повний доступ до криптовалюти жертви.
• Він переважно націлений на користувачів із Південної Кореї, був виявлений у понад 280 фальшивих додатках спеціалістами з кібербезпеки із McAfee, а також поширився на територію Великої Британії.

Якщо ваш відновлювальний ключ криптовалютного гаманця — найважливіший захисний елемент ваших цифрових активів — може бути вкрадений лише завдяки створенню знімку екрана? Це звучить тривожно, чи не так? Саме це робить шкідливе ПЗ SpyAgent, яке використовує оптичне розпізнавання символів (OCR), щоб перетворити, здавалося б, невинні зображення на джерело інформації для хакерів. 

Завдяки цьому передовому методу зараження SpyAgent наразі є однією з найнебезпечніших загроз для власників криптовалют. Чи захищені ваші криптовалютні гаманці від цього високотехнологічного шкідливого ПЗ?

Давайте розглянемо, як працює шкідливе ПЗ SpyAgent, і дізнаємося, як захистити ваш гаманець від таких загроз. 

Що таке шкідливе ПЗ SpyAgent?

SpyAgent — це не звичайне шкідливе програмне забезпечення. Це складна та високоспеціалізована форма шкідливого ПЗ, яка була розроблена з метою викрадення криптовалюти. На відміну від традиційних шкідливих програм, які застосовують методи, як-от запис клавіатурних введень чи фішинг, SpyAgent відрізняється використанням технології оптичного розпізнавання символів (OCR) для захоплення конфіденційної інформації від нічого не підозрюючих користувачів.

А тепер ви, можливо, запитаєте, що саме таке OCR? Чудове питання! 

OCR зазвичай використовується у легітимному програмному забезпеченні для перетворення зображень або сканованих документів у машинний текст. Однак SpyAgent зловживає цією технологією для сканування знімків екрана, зображень чи документів, збережених на вашому пристрої, у пошуках відновлювальних фраз криптовалютних гаманців або приватних ключів. Ці відновлювальні фрази є золотим квитком для доступу до ваших криптовалютних гаманців, що робить їх головною ціллю для хакерів.

Як тільки SpyAgent знаходить і зчитує текст, він швидко передає ваші відновлювальні ключі атакуючим, фактично надаючи їм повний контроль над вашою криптовалютою. Те, що робить SpyAgent особливо небезпечним, — це його здатність обійти звичайні методи захисту від шкідливого ПЗ, які зазвичай спрямовані на блокування фішингових атак або моніторинг введення тексту. Замість того щоб атакувати безпосередньо текстовий ввід, SpyAgent фокусується на зображеннях, знаходячи тривожні вразливості у способах зберігання користувачами своїх даних для відновлення гаманця.

Як працює шкідливе ПЗ SpyAgent?

SpyAgent використовує хитрі та підступні методи для викрадення відновлювальних фраз криптовалютних гаманців. Відновлювальна фраза криптогаманця, також відома як seed-фраза або резервна фраза, — це ряд випадково згенерованих слів (зазвичай 12, 18 або 24 слова), які є основним ключем для доступу до криптовалютного гаманця. 

Ця фраза генерується під час першого створення гаманця і потрібна для відновлення доступу до гаманця та коштів у разі втрати доступу до вашого пристрою чи приватних ключів.

Оскільки seed-фрази важко запам’ятати, люди часто зберігають їх, друкують або роблять знімок екрана з відновлювальною фразою та зберігають її як зображення на своєму мобільному пристрої чи синхронізують ці зображення з хмарними альбомами.

Саме тут у гру вступає SpyAgent. Ось як він працює:

• Проникнення: SpyAgent може інфікувати ваш пристрій через фішингові електронні листи, зловмисні вебсайти або підозрілі завантаження. Опинившись у системі, він працює безшумно, уникаючи виявлення традиційними методами захисту від шкідливих програм.
• Сканування зображень: Замість того щоб напряму зламувати програмне забезпечення для гаманців, SpyAgent шукає зображення та знімки екрана, які збережені на пристрої. Багато людей несвідомо зберігають свої відновлювальні фрази або приватні ключі як зображення для зручного доступу — цією вразливістю і користується SpyAgent.
• Технологія OCR: На цьому етапі стає технічно цікавіше. SpyAgent використовує OCR для сканування цих зображень і зчитування будь-якого видимого тексту, наприклад, відновлювальних фраз або приватних ключів. OCR зазвичай використовується у легальних програмах для перетворення друкованого чи рукописного тексту у цифрові дані, але SpyAgent використовує цю функцію, щоб викрадати критично важливу інформацію.
• Витяг інформації та крадіжка: Як тільки SpyAgent ідентифікує та витягує відновлювальні ключі, він негайно передає дані нападнику. Завдяки цим ключам нападник отримує повний доступ до криптовалютного гаманця, дозволяючи переносити, продавати чи викрадати кошти без подальших дій.
• Невиявлена операція: Оскільки SpyAgent використовує OCR для витягу даних із зображень замість запису введеного тексту, він може обходити виявлення більшістю програм-антивірусів, що робить його більш прихованою та технологічно розвиненою загрозою.

Цей метод викрадення криптовалютних ключів підкреслює зростаючу складність шкідливого ПЗ, демонструючи важливість використання безпечних практик зберігання, таких як апаратні гаманці та зашифровані резервні копії, для захисту цифрових активів.

Чи знали ви? Зберігання ваших відновлювальних ключів криптовалютного гаманця у вигляді зображень на телефоні чи в хмарному сховищі може зробити вас вразливими до хакерів. Тримайте ці критичні ключі в офлайн-середовищі, наприклад, в апаратному гаманці або на захищеному недіджиталізованому носії, щоб посилити свою безпеку.

Як була виявлена загроза SpyAgent OCR?

SpyAgent OCR було вперше виявлено фахівцями McAfee Labs під час аналізу Android-додатків, які займалися несанкціонованим збором даних. Ці зловмисні додатки маскувалися під легітимне програмне забезпечення — банківські додатки, сервіси комунальних підприємств, урядові платформи тощо — і після встановлення непомітно захоплювали знімки екрана та зображення з пристрою.

Дослідники з McAfee під час своєї роботи виявили понад 280 фальшивих додатків, що націлилися на користувачів у Південній Кореї з початку 2024 року. Ці додатки передавали зображення, що містили ключі відновлення криптовалюти, на віддалені сервери, де хакери використовували технологію OCR для вилучення конфіденційної інформації.

За словами McAfee, шкідливі додатки поширювалися через фішингові електронні листи, які маскувалися під офіційні додатки банків, урядових агентств, платформи потокового телебачення тощо.

Аналіз SpyAgent і нові загрози

Щоб залишитися в безпеці, дотримуйтеся зазначених порад і обов’язково будьте обачними