Nova variante do Phorpiex já roubou meio milhão de dólares

A Check Point Research (CPR) detetou uma nova variante do botnet Phorpiex, ameaça conhecida pelos ataques de sextortion e crypto-jacking, uma técnica cibercriminosa em que o atacante utiliza os recursos das vítimas para gerar criptomoeda. A nova variante – Twizt – opera sem servidores C&C ativos, o que significa que cada computador infetado pode contribuir para a disseminação do botnet. A CPR estima que o Twizt tenha roubado quase meio milhão de dólares em criptomoedas e novas funcionalidades da variante fazem os investigadores acreditar que o botnet pode tornar-se ainda mais estável e, por isso, mais perigoso.

Segundo a CPR, o Twitz utiliza uma técnica chamada “crypto clipping” – roubo de criptomoeda durante as transações através da utilização de um malware que substitui automaticamente o endereço de wallet intencionado pelo endereço de wallet do agente malicioso. No período de um ano, entre novembro de 2020 e novembro de 2021, os bots do Phorpiex roubaram 969 transações, roubando 3.64 Bitcoin, 55.87 Ether e 55 mil dólares em tokens ERC20. O valor dos ativos roubados a preços correntes corresponde a quase meio milhão de dólares. Os países mais visados são a Etiópia (19,3%), a Nigéria (13,4) e a Índia (12,8%). 

“Há três grandes riscos envolvidos com a nova variante do Phorpiex. Primeiro, o Twizt utiliza o modelo peer-to-peer e consegue receber comandos e atualizações de milhares de outras máquinas infetadas. Um botnet peer-to-peer é mais difícil de derrubar. Isto faz com que o Twizt seja mais estável que versões anteriores de bots Phorpiex. Em segundo lugar, tal como versões anteriores do Phorpiex, o Twizt consegue roubar critpomoeda sem qualquer comunicação C&C, portanto, é mais fácil escapar dos mecanismos de segurança, como as firewalls. Terceiramente, o Twitz corre mais de 30 cripto wallets diferentes de blockchains diferentes, incluindo as principais, como Bitcoin, Ethereum, Dash, Monero. Isto faz com que a superfície de ataque seja enorme, e que basicamente qualquer pessoa que esteja a utilizar cripto possa ser afectada”, afirma Alexander Chailytko, Cyber Security Research & Innovation Manager da Check Point Software, que recomenda que “todos os utilizadores de criptomoeda a verificarem duas vezes os endereços de wallet que copiam e colam, pois pode muito bem estar a enviar inadvertidamente o seu crypto para as mãos erradas”.