8.000 enheder er blevet inficeret, og malware i videospil har fået adgang til 80 kryptovaluta-tegnebøger

Malware-kampagne rettet mod kryptovaluta-tegnebøger

Malware skjult i spil, der kunne downloades, har angiveligt indsamlet loginoplysninger, som angriberne brugte til at få adgang til kryptovalutakonti og stjæle ofrenes digitale aktiver. Local 10 News rapporterede først om sagen den 15. juli med henvisning til en 15-siders føderal strafferetlig anklageskrift, der beskrev den påståede malware-svindel.

I anklageskriftet hævdes det, at operationen løb fra maj 2024 til februar 2026 og kompromitterede omkring 8.000 enheder via otte inficerede spil. Føderale efterforskere beskylder den 21-årige Zyaire Dontaevious Zamarion Wilkins fra North Lauderdale i Florida for at have ydet økonomisk støtte til malware-operationen og for at have bidraget til at promovere kampagnen.

Skjult malware spredt via videospil

Retsdokumenterne beskriver software indlejret i otte spil, der angiveligt indsamlede adgangskoder, tegnebogsoplysninger, browserdata og andre følsomme oplysninger, efter at ofrene havde installeret spillene. Myndighederne vurderer, at de stjålne oplysninger i sidste ende muliggjorde uautoriseret adgang til cirka 80 kryptovaluta-tegnebøger.

Selvom efterforskerne ikke nævnte distributionsplatformen ved navn, peger detaljerne i anklageskriftet på Steam. FBI indsamler oplysninger fra potentielle ofre i forbindelse med sin efterforskning af Steam-malwaren, herunder personer, der har downloadet BlockBlasters, Chemia, Dashverse/DashFPS, Lampy, Lunara, PirateFi, Tokenova eller andre spil, der er forbundet med sagen.

Sikkerhedsforskere havde tidligere identificeret malware, der stjal tegnebøger, i PirateFi, inden Steam fjernede spillet, hvilket illustrerer, hvordan cyberkriminelle kan misbruge legitime spilmarkedspladser til at distribuere ondsindet software i stor skala. Fjernelsen af PirateFi fra Steam satte fokus på den voksende trussel fra malware, der er skjult i spil-downloads.

Automatiserede bots hjalp med at identificere kryptoejere

Discord, Telegram, X og LinkedIn blev angiveligt markedsføringskanaler for de inficerede spil, mens automatiserede bots efter sigende gennemsøgte onlinefællesskaber efter personer med betydelige beholdninger af kryptovaluta. De målrettede kontoindehavere modtog derefter skræddersyede beskeder, der opfordrede dem til at installere softwaren.

Efter at have inficeret en enhed søgte malware angiveligt efter loginoplysninger, oplysninger om kryptovaluta-wallets og godkendelsesdata. Efterforskerne hævder, at medlemmerne af sammensværgelsen gennemgik de stjålne filer og identificerede wallets, som de kunne få adgang til og tømme.

Bitcoin og gavekort skabte et digitalt spor

Krypterede Signal-samtaler viste angiveligt, at Wilkins brugte brugernavnet "Sibel.eth", mens han kommunikerede med den formodede primære malwareudvikler. Ifølge anklageskriftet omfattede disse udvekslinger diskussioner om køb af en trojan til fjernadgang til en værdi af 10.000 dollars og gennemførelse af kampagner, der havde til formål at tømme ofrenes kryptovaluta-tegnebøger.

Bitcoin-transaktioner knyttet til den påståede operation førte til sidst efterforskerne til Bitrefill, hvor mere end 150 digitale gavekort angiveligt blev købt ved hjælp af kryptovaluta knyttet til svindelnummeret. De fleste blev indløst til Uber Eats-bestillinger, og dokumenter fremlagt efter en stævning koblede leveringerne til Wilkins' universitetsadresser og hans bopæl i det sydlige Florida.

Agenter, der udførte en ransagningskendelse, beslaglagde elektroniske enheder og tre seed-fraser til kryptovaluta-tegnebøger, herunder en, der angiveligt var knyttet til en Monero-tegnebog.

Transaktionsoplysninger, der blev gennemgået af myndighederne, viste angiveligt, at Wilkins sendte eller modtog omkring 382.000 dollars i kryptovaluta. Han står nu tiltalt for en anklagepunkt om sammensværgelse med henblik på at skaffe sig computeroplysninger til privat økonomisk vinding, en lovovertrædelse, der kan medføre en maksimal straf på 10 års fængsel.