Hackerii au învățat marketing: malware-ul crypto promovat cu review-uri false, voci AI și comentarii pe VirusTotal

O nouă campanie de malware arată cât de mult s-a schimbat criminalitatea informatică. Atacatorii nu mai mizează doar pe fișiere ascunse, linkuri suspecte sau emailuri prost scrise. În schimb, folosesc tehnici de marketing digital: review-uri false, conturi coordonate, videoclipuri cu naratori AI, proiecte pe GitHub și SourceForge, plus comentarii pozitive pe VirusTotal pentru a face fișierele periculoase să pară sigure.

Cercetătorii de la Check Point Research au descoperit o campanie care distribuie un crypto clipper, adică un tip de malware care urmărește ce copiezi în clipboard și înlocuiește adresele de portofel crypto cu unele controlate de atacatori. Țintele par să fie utilizatorii care caută scurtături rapide pentru câștiguri online: posesori de criptomonede, utilizatori interesați de Solana și Pump.fun sniper bots sau jucători atrași de așa-zise „predictors” pentru jocuri de tip crash.

Cum funcționează capcana din spatele descărcărilor

Malware-ul analizat de Check Point este scris în Rust și vizează atât Windows, cât și macOS. După instalare, acesta monitorizează constant clipboardul. Dacă utilizatorul copiază o adresă de portofel crypto, programul o detectează și o înlocuiește cu o adresă controlată de atacator. Victima poate crede că trimite bani către propriul portofel sau către un destinatar legitim, dar tranzacția ajunge, de fapt, la infractor.

Acest tip de atac este periculos tocmai pentru că se bazează pe un comportament foarte comun. În zona crypto, adresele sunt lungi, greu de verificat caracter cu caracter, iar mulți utilizatori copiază și lipesc adrese fără să le compare integral înainte de a confirma tranzacția. Un clipper profită exact de această neatenție.

Vezi și:

Ce avere are Ciprian Ciucu? Terenurile, apartamentele și economiile declarate de primarul Capitalei

Partea nouă nu este neapărat tehnica de furt, ci modul în care malware-ul este promovat. Atacatorul a creat o pagină WordPress de phishing care funcționează ca hub central, apoi a folosit proiecte pe GitHub și SourceForge, susținute de conturi false, pentru a da impresia că instrumentele sunt reale, populare și sigure. Unele repository-uri au fost umflate cu stele și fork-uri, semnale pe care mulți utilizatori le folosesc pentru a decide dacă un proiect pare de încredere.

Pe SourceForge, cercetătorii au observat un număr suspect de mare de descărcări, inclusiv zeci de mii provenite aparent de pe dispozitive Android, deși software-ul oferea doar versiuni pentru Windows și macOS. O explicație posibilă este folosirea unei ferme de dispozitive Android pentru umflarea artificială a statisticilor.

Falsa reputație a devenit arma principală

Cea mai interesantă parte a campaniei este manipularea reputației. Atacatorii au folosit comentarii pozitive, upvote-uri și conturi coordonate pe VirusTotal pentru a reduce suspiciunile în jurul fișierelor malițioase. În mod normal, mulți utilizatori verifică un fișier pe VirusTotal înainte de descărcare sau instalare. Dacă văd comentarii bune și reacții pozitive, pot ajunge să creadă că fișierul este curat.

Vezi și:

Agenții AI încep să plătească și să tranzacționeze singuri. Coinbase lansează un instrument care ar putea schimba cumpărăturile online

Familia Trump, îmbogățită până la refuz din cripto. Afacerea „dubioasă” de 500 de milioane de dolari care a îngropat investitorii în pierderi

Check Point descrie acest mecanism ca pe o economie falsă a reputației. În loc ca încrederea să vină din audituri reale, comunități autentice sau semnături oficiale, atacatorii construiesc o aparență de popularitate. O victimă curioasă care verifică pagina, repository-ul, clipul video și rezultatul de pe VirusTotal găsește peste tot aceleași semnale fabricate: descărcări multe, review-uri bune, tutoriale și comentarii pozitive.

Campania include și un canal YouTube cu peste 91.000 de abonați, unde instrumentele sunt promovate prin videoclipuri de tip tutorial. Clipurile folosesc naratori generați cu AI și comentarii pozitive pentru a crea impresia de produs legitim. Formula seamănă cu promovarea unui software real: demonstrație video, voce calmă, beneficii clare și un public aparent mulțumit.

Atacatorii au mers chiar mai departe, folosind un serviciu de distribuire de comunicate de presă pentru a promova presupusele capabilități ale instrumentelor. Comunicatul a fost apoi preluat pe site-uri partenere legitime, ceea ce a oferit campaniei încă un strat de credibilitate. Pentru un utilizator obișnuit, faptul că un produs apare pe un site de știri poate fi suficient pentru a-l face să pară sigur.

De ce atacul este un avertisment pentru toți utilizatorii

Această campanie arată că pericolul nu mai vine doar din fișiere necunoscute, ci și din semnalele de încredere pe care utilizatorii au fost învățați să le caute. Stelele de pe GitHub, numărul de descărcări, comentariile de pe VirusTotal, tutorialele video și aparițiile în comunicate pot fi manipulate.

Pentru utilizatorii crypto, riscul este imediat. O singură adresă înlocuită în clipboard poate duce la pierderea definitivă a fondurilor, deoarece tranzacțiile blockchain nu pot fi anulate. Verificarea ultimelor și primelor caractere ale unei adrese nu mai este întotdeauna suficientă, mai ales dacă atacatorii folosesc adrese asemănătoare vizual.

Pentru industria de securitate, campania este un semnal mai larg. Aceeași metodă de promovare falsă poate fi folosită mâine pentru infostealere, ransomware sau instrumente care vizează companii. Dacă atacatorii pot face un malware să pară popular, verificat și recomandat, bariera psihologică a descărcării scade dramatic.

Regula devine simplă: nu instala instrumente crypto dubioase care promit profit rapid, mai ales dacă vin din surse neoficiale și sunt susținute de review-uri prea bune ca să fie reale. Într-o lume în care până și reputația poate fi fabricată, cea mai bună protecție rămâne neîncrederea sănătoasă.

Seniorii din București primesc ajutor gratuit ca să folosească internetul, telefonul și plățile online fără teamă