Bagaimana Jemputan Konferensi Kripto Palsu Menjadikan Google Docs Alat Penghantar Malware

Kempen ini menggabungkan suasana profesional yang kelihatan meyakinkan dengan perkhidmatan dalam talian yang dipercayai ramai. Akaun X @HartmansDoeke mendakwa mewakili CoinDesk, lalu mendekati individu yang mempunyai kaitan dengan Black Hat dan DEF CON—kadangkala melalui balasan awam sebelum perbualan dialihkan ke mesej langsung. Penyerang kemudian menawarkan sebuah konferensi mata wang kripto yang kononnya dianjurkan CoinDesk dan berkongsi Google Docs yang dipersembahkan sebagai bahan perancangan acara. 1411

Perkara pentingnya ialah dokumen Google itu sendiri boleh kelihatan sah. Tingkah laku berniat jahat datang daripada antara muka Google Apps Script yang disematkan serta arahan yang dipaparkan melaluinya. Laporan yang tersedia menerangkan cubaan menghantar malware, tetapi tidak membuktikan bahawa penyelidik Huntress atau sasaran lain benar-benar memasang muatan tersebut. 468

Bagaimana helah kejuruteraan sosial itu berfungsi

Mesej pembukaan menggunakan konteks konferensi sebagai jalan pintas untuk membina kepercayaan. Penyamaran itu bertanya—dalam bahasa Inggeris yang tidak lancar—sama ada penyelidik berkenaan akan menghadiri acara seterusnya, sebelum memperkenalkan konferensi palsu yang kononnya berkaitan dengan sebuah penerbit berita kripto terkenal. Balasan awam membantu mengenal pasti atau mendekati individu yang berkemungkinan menghadiri acara tersebut, manakala mesej langsung menyediakan saluran peribadi untuk langkah seterusnya. 4510

Selepas sasaran menunjukkan minat, penyerang menghantar dokumen yang kelihatan seperti fail perancangan konferensi. Dokumen itu disertakan dengan “kunci penyulitan” atau kunci penyahsulitan yang diberikan dalam perbualan di X. Corak ini menjadikan pertukaran tersebut kelihatan seperti urusan biasa mengendalikan acara, bukannya cubaan phishing konvensional. 68

Perangkap Google Docs dan Apps Script

Pengguna Google yang telah log masuk dan membuka fail itu akan melihat sidebar tersuai di sebelah dokumen. Menurut Huntress, sidebar tersebut menjadikan bahan berkenaan kelihatan seolah-olah sebahagiannya disulitkan dan meminta penerima memasukkan kunci yang telah diberikan. Kunci itu kelihatan gagal apabila dimasukkan, lalu mewujudkan alasan untuk sasaran mengikuti langkah pemulihan yang dicadangkan sidebar. 68

Pilihan susulan itu termasuk arahan bergaya ClickFix dan laluan muat turun. Kedua-duanya direka untuk memujuk penerima memuat turun serta menjalankan kod berbahaya. Ertinya, dokumen tersebut bukan sekadar pautan ke laman luaran yang mencurigakan: pengehosan Google yang sah dan antara muka Docs yang kelihatan asli digunakan supaya keseluruhan proses terasa biasa. 48

Inilah pengajaran utama kempen tersebut. URL google.com yang sebenar atau dokumen yang dibuka dalam perkhidmatan produktiviti yang dikenali hanya mengesahkan tempat kandungan itu dihoskan—bukan bahawa dokumen, skrip, arahan atau fail muat turunnya selamat.

Malware yang dikaitkan dengan kempen

Laluan penghantaran yang dilaporkan berbeza mengikut sistem operasi:

• macOS: Kempen itu cuba menghantar Atomic macOS Stealer, atau AMOS, iaitu pencuri maklumat. Laporan turut mengaitkan laluan macOS dengan perkongsian Dropbox DocSend palsu dan pemasang tiruan. 2
• Windows: Operasi itu melibatkan NetSupport RAT, produk sokongan dan desktop jauh yang sah tetapi disalahgunakan sebagai trojan akses jauh. 2
• Sasaran mata wang kripto: Penyelidik turut mengenal pasti pemasang atau implan dompet Ledger palsu, yang menunjukkan bahawa kelayakan kripto dan maklumat berkaitan dompet berkemungkinan menjadi antara objektif serangan. 2

Bukti yang tersedia menerangkan muatan dan mekanisme penghantaran yang disasarkan, bukan pengesahan bahawa penyelidik yang menyiasat kempen itu telah terjejas.

Bagaimana Huntress menyiasat umpan tersebut

Penyelidik Huntress yang menjadi sasaran menyedari pendekatan itu mencurigakan, tetapi meneruskan perbualan sambil berpura-pura bekerjasama. Langkah tersebut membolehkan Huntress memerhati mesej penyerang, menerima dokumen berkenaan dan mendokumentasikan bagaimana gesaan penyulitan palsu itu membawa kepada cubaan menjalankan malware. Penyelidik tersebut tidak memasang muatan itu. 1411

Kaedah ini memberikan gambaran yang jarang diperoleh tentang keseluruhan rantaian serangan. Siasatan tidak terhenti pada mesej pertama yang mencurigakan, sebaliknya menghubungkan dakwaan identiti di X, alasan konferensi palsu, Google Docs, sidebar Apps Script, gesaan kunci palsu dan laluan malware yang berbeza mengikut sistem operasi.

Pengajaran untuk pasukan keselamatan

Kempen ini menunjukkan bahawa pendekatan berkaitan konferensi perlu diteliti dengan tahap kewaspadaan yang sama seperti phishing melalui e-mel—walaupun ia datang melalui platform sosial terbuka dan menggunakan perkhidmatan awan yang sah.

Antara tanda amaran praktikal ialah:

• pendekatan tanpa diminta daripada akaun yang mendakwa mewakili penganjur konferensi, syarikat media atau penaja;
• permintaan untuk berpindah daripada balasan awam ke mesej langsung sebelum identiti pengirim disahkan melalui saluran lain;
• dokumen yang meminta kunci, kata laluan atau langkah “penyahsulitan” yang diberikan dalam sembang berasingan;
• Google Docs yang menggunakan sidebar tersuai atau gesaan interaktif luar biasa untuk mengarahkan penerima memuat turun perisian atau menampal arahan; dan
• dompet kripto, alat sokongan jauh atau utiliti konferensi yang ditawarkan di luar saluran rasmi organisasi yang telah disahkan secara bebas.

Jika seseorang telah mengikut arahan tersebut, tindak balas paling selamat ialah mengasingkan sistem yang terjejas, menetapkan semula kelayakan yang mungkin terdedah, menukar rahsia akses dan menyemak dompet mata wang kripto serta akaun sensitif lain. 1819

Perkara yang disahkan—dan yang masih belum diketahui

Laporan yang tersedia menyokong mekanisme teras kempen ini: penyamaran di X, penggunaan balasan awam dan mesej langsung, alasan konferensi kripto palsu, Google Docs yang dipertingkatkan dengan Apps Script, kunci penyahsulitan palsu, arahan susulan bergaya ClickFix serta cubaan menghantar malware yang menyasarkan macOS dan Windows. 1246811

Namun, rekod yang diberikan tidak mengandungi kenyataan yang disahkan daripada suspek penyerang atau Google. Ia juga tidak menyediakan bukti mencukupi untuk membuat perbandingan khusus dengan kempen terdahulu yang dikaitkan dengan kerajaan atau kumpulan tertentu.

Pada tahap umum, insiden ini mengikuti corak yang biasa: kejuruteraan sosial yang disesuaikan untuk menyasarkan profesional keselamatan. Kelainan utamanya ialah penggunaan kandungan yang dihoskan di Google serta antara muka Apps Script sebagai sebahagian daripada aliran penghantaran malware.