Uniswap стал инструментом для кражи данных трейдеров

Группировка Lazarus, связанная с кибершпионажем и финансовыми преступлениями, начала распространять вредоносное ПО, маскируясь под популярное приложение Uniswap Sniper Bot. Под видом инструмента для автоматической торговли криптовалютами пользователи загружают программу, которая ворует их данные и криптокошельки.

Злоумышленники модифицировали установочный файл приложения и встроили в него вредоносный код, замаскированный под легальный процесс установки. Программа загружает дополнительные модули, которые крадут информацию из браузеров Chrome, Brave и Opera, а также осуществляют кейлоггинг и мониторинг активности пользователя.

Для выполнения атак Lazarus использует три основных модуля:

• n2pay — крадет файлы и выполняет команды злоумышленников;
• n2bow — похищает данные из браузеров;
• n2mlip — записывает нажатия клавиш и отслеживает содержимое буфера обмена.

Модули загружаются с серверов Lazarus и позволяют группе удаленно контролировать устройства жертв. Применяется сложная обфускация, которая помогает обходить антивирусные проверки и затрудняет обнаружение.

Lazarus использует подобные методы для атак на популярные приложения, внедряя вредоносный код в установочные файлы. Эксперты связывают действия группы с интересами правительства Северной Кореи, включая кибершпионаж и финансовые махинации.