Поддельные приложения Ledger Live крадут криптовалюту

Киберпреступники используют поддельные приложения Ledger Live и фишинговые уведомления для кражи секретных фраз, запуская вредоносное ПО, которое незаметно опустошает криптовалютные кошельки на различных платформах.

Киберпреступники используют поддельные версии Ledger Live — приложения для управления криптовалютой на кошельках Ledger — чтобы украсть секретные фразы и опустошить счета пользователей. Moonlock Lab раскрыли, что с августа 2024 года было проведено по крайней мере четыре активные кампании с использованием вредоносного ПО, нацеленные на Ledger Live с помощью фишинговых атак.

Изначально поддельные приложения могли украсть только заметки и данные кошелька. Но сегодня они обманывают пользователей, заставляя их раскрывать свою 24-словную секретную фразу. Один из таких способов, замеченный в Atomic macOS Stealer (AMOS), включает в себя поддельное оповещение о безопасности, которое просит пользователей «проверить» свою секретную фразу. После ввода, она напрямую отправляется хакерам.

Переход начался с вредоносного ПО “Odyssey”, созданного хакером по имени Родриго. Согласно Moonlock, с марта 2025 года, Odyssey обходит защиту Ledger Live с помощью фишинговой страницы, которая убеждает пользователей ввести свою секретную фразу для исправления «критической ошибки.»

Метод Родриго вызвал цепную реакцию. Другой хакер, @mentalpositive, утверждает, что теперь их вредоносное ПО включает модуль «анти-Ledger». Однако два образца их кода не показали значительных изменений — только новый адрес сервера и изменение имени с «ЖЕНЯ» на «SHELLS».

Тем временем, новую кампанию, которую обнаружили Jamf Threat Labs, осуществляет невидимый для Mac установщик, который загружает поддельный интерфейс Ledger Live. Вредоносное ПО бесшумно перехватывает пароли, файлы и данные кошелька, используя смесь Python и AppleScript.

AMOS также принял схему фишинга Родриго. Жертвы обманываются и запускают терминальный файл, который обходит проверки безопасности Apple, позволяя вредоносному ПО работать. Если он обнаруживает реальную систему, а не виртуальную, он отправляет украденные файлы и учетные данные — включая данные от Binance и TonKeeper — на удаленный сервер.

С увеличением числа хакеров, копирующих этот подход, пользователям криптовалют настоятельно рекомендуется избегать ввода семян фраз в приложения или всплывающие окна.