อุปกรณ์ 8,000 เครื่องติดมัลแวร์จากวิดีโอเกม เข้าถึงกระเป๋าเงินคริปโต 80 ใบ

แคมเปญมัลแวร์มุ่งเป้ากระเป๋าเงินคริปโต

มัลแวร์ที่ซ่อนอยู่ในเกมที่ดาวน์โหลดได้ถูกกล่าวหาว่าขโมยข้อมูลรับรอง ซึ่งผู้โจมตีใช้เพื่อเข้าสู่บัญชีคริปโตและถอนสินทรัพย์ดิจิทัลของเหยื่อออกไป Local 10 News รายงานคดีนี้เป็นแห่งแรก เมื่อวันที่ 15 กรกฎาคม โดยอ้างอิงคำร้องเรียนคดีอาญาของรัฐบาลกลางความยาว 15 หน้า ที่ระบุรายละเอียดของขบวนการมัลแวร์ดังกล่าว

คำร้องเรียนระบุว่าปฏิบัติการดำเนินตั้งแต่พฤษภาคม 2024 ถึงกุมภาพันธ์ 2026 ทำให้อุปกรณ์ราว 8,000 เครื่องถูกเจาะผ่านเกมติดเชื้อทั้งแปดเกม เจ้าหน้าที่สืบสวนของรัฐบาลกลางกล่าวหา Zyaire Dontaevious Zamarion Wilkins วัย 21 ปี จากนอร์ธ ลอเดอร์เดล รัฐฟลอริดา ว่าให้การสนับสนุนทางการเงินแก่ปฏิบัติการมัลแวร์และช่วยโปรโมตแคมเปญดังกล่าว

มัลแวร์แฝงแพร่กระจายผ่านวิดีโอเกม

เอกสารของศาลอธิบายซอฟต์แวร์ที่ฝังอยู่ในเกมทั้งแปดเกม ซึ่งถูกกล่าวหาว่ารวบรวมรหัสผ่าน ข้อมูลรับรองของกระเป๋าเงิน ข้อมูลเบราว์เซอร์ และข้อมูลอ่อนไหวอื่น ๆ หลังจากเหยื่อติดตั้งเกม เจ้าหน้าที่ประเมินว่าข้อมูลที่ถูกขโมยในท้ายที่สุดเอื้อให้มีการเข้าถึงกระเป๋าเงินคริปโตประมาณ 80 ใบโดยไม่ได้รับอนุญาต

แม้ผู้สืบสวนจะไม่ได้ระบุแพลตฟอร์มเผยแพร่โดยชื่อ แต่รายละเอียดในคำร้องเรียนชี้ไปที่ Steam เอฟบีไอกำลังรวบรวมข้อมูลจากผู้เสียหายที่อาจเกี่ยวข้องในการสืบสวนมัลแวร์บน Steam รวมถึงผู้ที่ดาวน์โหลด BlockBlasters, Chemia, Dashverse/DashFPS, Lampy, Lunara, PirateFi, Tokenova หรือเกมอื่น ๆ ที่เกี่ยวข้องกับคดีนี้

ก่อนหน้านี้นักวิจัยด้านความปลอดภัยเคยตรวจพบมัลแวร์ขโมยกระเป๋าเงินอยู่ใน PirateFi ก่อนที่ Steam จะถอดเกมดังกล่าวออก ซึ่งสะท้อนให้เห็นว่าอาชญากรไซเบอร์สามารถฉวยประโยชน์จากมาร์เก็ตเพลซเกมที่ถูกต้องเพื่อกระจายซอฟต์แวร์อันตรายในวงกว้างได้อย่างไร การถอด PirateFi ออกจาก Steam ตอกย้ำภัยคุกคามที่เพิ่มขึ้นของมัลแวร์ที่ซ่อนอยู่ในไฟล์ดาวน์โหลดเกม

บอตอัตโนมัติช่วยระบุผู้ถือครองคริปโต

Discord, Telegram, X และ LinkedIn ถูกกล่าวหาว่ากลายเป็นช่องทางการตลาดสำหรับเกมติดเชื้อ ขณะที่บอตอัตโนมัติถูกระบุว่าค้นหาชุมชนออนไลน์เพื่อหาผู้ที่มีการถือครองคริปโตจำนวนมาก จากนั้นผู้ถือบัญชีที่ตกเป็นเป้าหมายจะได้รับข้อความที่ปรับแต่งเฉพาะบุคคลเพื่อชักชวนให้ติดตั้งซอฟต์แวร์

หลังจากทำให้อุปกรณ์ติดเชื้อ มัลแวร์ถูกกล่าวหาว่าค้นหาข้อมูลเข้าสู่ระบบ ข้อมูลกระเป๋าเงินคริปโต และข้อมูลการยืนยันตัวตน ผู้สืบสวนยืนยันว่าสมาชิกของขบวนการได้ตรวจดูไฟล์ที่ถูกขโมยและระบุกระเป๋าเงินที่สามารถเข้าถึงและดูดเงินออกได้

บิตคอยน์และบัตรของขวัญสร้างร่องรอยดิจิทัล

การสนทนาบน Signal ที่เข้ารหัสถูกกล่าวหาว่าแสดงให้เห็นว่า Wilkins ใช้ชื่อผู้ใช้งาน “Sibel.eth” ระหว่างสื่อสารกับผู้พัฒนามัลแวร์หลักที่ต้องสงสัย ตามคำร้องเรียน การแลกเปลี่ยนเหล่านั้นรวมถึงการหารือเรื่องการซื้อรีโมตแอ็กเซสโทรจันราคา 10,000 ดอลลาร์ และการดำเนินแคมเปญที่ออกแบบมาเพื่อทำให้กระเป๋าเงินคริปโตของเหยื่อถูกล้างเกลี้ยง

ธุรกรรมบิตคอยน์ที่เชื่อมโยงกับปฏิบัติการที่ถูกกล่าวหานำผู้สืบสวนไปยัง Bitrefill ซึ่งถูกกล่าวหาว่ามีการซื้อบัตรของขวัญดิจิทัลมากกว่า 150 ใบด้วยคริปโตที่เกี่ยวข้องกับขบวนการนี้ ส่วนใหญ่ถูกนำไปแลกเป็นคำสั่งซื้อ Uber Eats และบันทึกที่ได้จากหมายเรียกเชื่อมโยงการจัดส่งไปยังที่อยู่มหาวิทยาลัยของ Wilkins และที่พักอาศัยของเขาในเซาท์ฟลอริดา

เจ้าหน้าที่ที่เข้าดำเนินการตามหมายค้นได้ยึดอุปกรณ์อิเล็กทรอนิกส์และวลีเมล็ดกู้คืน (seed phrase) ของกระเป๋าเงินคริปโต 3 ชุด รวมถึงหนึ่งชุดที่ถูกกล่าวหาว่าเกี่ยวข้องกับกระเป๋าเงิน Monero

บันทึกธุรกรรมที่ทางการตรวจสอบถูกกล่าวหาว่าแสดงให้เห็นว่า Wilkins ส่งหรือรับคริปโตประมาณ 382,000 ดอลลาร์ ขณะนี้เขาเผชิญข้อหาสมคบคิดเพื่อให้ได้มาซึ่งข้อมูลคอมพิวเตอร์เพื่อผลประโยชน์ทางการเงินส่วนบุคคล ซึ่งมีโทษจำคุกสูงสุด 10 ปี