Widzieliśmy witryny oszustw zbudowane wokół Grand Theft W tym roku Auto VI (GTA 6) będzie przyciągać odwiedzających na trzy różne sposoby.
W czerwcu przyjrzeliśmy się stronom sprzedającym GTA 6 w ramach „wczesnego dostępu” za setki dolarów w kryptowalutach. Płaciłeś, nic nie otrzymywałeś i nie mogłeś cofnąć płatności. W sierpniu znaleźliśmy fałszywe strony z rozszerzonym widokiem i demonstracjami, które zamiast gry oferowały kradzież informacji.
Strona, którą analizowaliśmy w tym tygodniu, wygląda jak strona odliczająca czas do premiery GTA 6, ale oferuje sprzedaż przeciekającej kopii gry. W momencie wejścia na stronę, pobiera ona program do wykradania kryptowalut i innych aktywów z połączonych portfeli. Wybierz płatność kryptowalutą, a program poprosi Cię o połączenie portfela. Może on atakować aktywa w kilku sieciach blockchain.
Jak wygląda strona
Maskowanie działa, ponieważ znaczna część strony zawiera informacje wyglądające na prawdziwe. Znajduje się tam odliczanie do 19 listopada, mapa Leonidy oraz siatka z informacjami o premierze i fragmentami rozgrywki. Szczegóły premiery pokrywają się z zapowiedziami Rockstara: GTA 6 ma się ukazać 19 listopada na PlayStation 5 i Xbox Series. X |S, a Rockstar nie zapowiedział wersji na PC.
Wśród tych rzetelnych materiałów znajdują się dwie oferty. Jedna sprzedaje wyciekłą kopię za 50 dolarów. Druga oferuje to samo za kryptowalutę: 1 SOL (warty około 102 dolarów w momencie pisania).
Strona informuje następnie odwiedzających, że każda inna strona oferująca wyciekłe materiały to oszustwo i że ta strona jest jedynym bezpiecznym miejscem do zakupów. Ostrzeganie odwiedzających przed innymi oszustami to powszechna technika mająca na celu uspokojenie osób, które już mają podejrzenia.
Strona zaprzecza sama sobie w sposób, który każdy może sprawdzić. W stopce strony czytamy, że strona nie oferuje żadnych zakupów, pobierania ani płatności, a znajduje się ona bezpośrednio pod dwoma przyciskami płatności. Pole rejestracji nosi tytuł „Otrzymaj powiadomienie. Nie daj się oszukać”. W tabeli z informacjami podano, że gra jest dostępna tylko na konsole, podczas gdy w FAQ obiecuje możliwość pobrania gry na PC po zakupie i twierdzi, że cena nie została jeszcze potwierdzona, mimo że Rockstar rozpoczął przedsprzedaż w czerwcu.
Tekst również rozpada się na dwie części. Sekcje odliczania i mapy są czyste. Tekst sprzedażowy zawiera wiele błędów, w tym literówkę w słowie „download” oraz odniesienie do GTA IV zamiast VI. Naszym zdaniem, wykorzystano ponownie wyglądający na autentyczny szablon fanowski, a argument sprzedażowy dodał ktoś inny, kto go nie sprawdził.
Co się dzieje po podłączeniu portfela
Znajdują się tu dwa fragmenty kodu, które bardzo się różnią.
Pierwszy z nich jest wpisany na stronę i atakuje portfel Solana. Nie pobiera on reklamowanej ceny. Zamiast tego sprawdza saldo portfela, pozostawia niewielką kwotę na pokrycie opłaty transakcyjnej i przygotowuje się do przelania całej reszty atakującemu. Reklamowana cena nie ma wpływu na kalkulację.
Drugi to osobny skrypt o rozmiarze około 2,4 MB, który oferuje znacznie większe możliwości. Zawiera legalne, powszechnie używane narzędzie do łączenia stron internetowych z portfelami kryptowalut, co pozwala mu obsługiwać wiele portfeli, a nie tylko jeden. Do tego narzędzia dodano złośliwy kod, który inwentaryzuje połączony portfel, oblicza wartość jego aktywów, raportuje szczegóły atakującemu i pobiera transakcje do zatwierdzenia przez ofiarę.
Skrypt jest skonfigurowany do atakowania portfeli w siedmiu sieciach blockchain: Ethereum, Polygon, BNB Smart Chain, Avalanche, Arbitrum, Base i Fantom. Rozpoznaje on główne stablecoiny w tych sieciach i może żądać kilku rodzajów dostępu. W zależności od zgody ofiary, może on natychmiast przelać kryptowalutę lub uzyskać pozwolenie na przeniesienie tokenów i całych kolekcji NFT w późniejszym terminie.
Transfer natychmiast przejmuje zasoby. Zatwierdzenie może dać atakującemu dostęp do nich później. Ten skrypt obsługuje oba te przypadki.
Najpierw sprawdza, gdzie jesteś
Zanim użytkownik poprosi o połączenie portfela, skrypt pobiera ustawienia z serwera operatora. Jeśli dane ustawienie jest włączone, używa adresu IP użytkownika do identyfikacji jego kraju i porównuje go z ustaloną listą: Armenia, Azerbejdżan, Białoruś, Kazachstan, Kirgistan, Mołdawia, Rosja, Tadżykistan, Turkmenistan i Uzbekistan.
Odwiedzający z tych krajów widzą komunikat „Ta strona internetowa jest niedostępna w Twoim regionie” i są przekierowywani na pustą stronę. Wszyscy pozostali kontynuują.
Ustawienie sterujące tą funkcją blokowania kraju nosi nazwę CIS_Protection w kodzie.
Wykluczanie tej grupy krajów to od dawna stosowana konwencja w niektórych narzędziach przestępczych, zazwyczaj interpretowana jako próba uniknięcia lokalnych organów ścigania. Nie wyciągalibyśmy wniosków na temat tego, kto za tym stoi, wyłącznie na podstawie listy krajów. Pokazuje to, że ktokolwiek stworzył narzędzie, świadomie podjął decyzję o tym, kogo chce okraść, i zapisał tę decyzję w pliku ustawień.
Oblicza wartość Twojego portfela
Skrypt profiluje użytkowników przed poproszeniem ich o zatwierdzenie czegokolwiek. Sprawdza ich zasoby w różnych blockchainach, oblicza ich całkowitą wartość i wysyła dane do operatora. Obejmują one szacowaną wartość portfela w dolarach, jego tokeny i NFT, adres IP i kraj użytkownika oraz liczbę połączeń z portfelem.
Skrypt ma również na celu utrudnienie analizy. Potrafi on wykrywać przeglądarki automatyczne używane przez skanery bezpieczeństwa, blokować komunikaty, które normalnie pojawiałyby się w konsoli programistycznej przeglądarki, zakłócać działanie narzędzi programistycznych i ukrywać adresy serwerów w kodzie.
Kilka szczegółów sugeruje, że urządzenie jest wynajmowane, a nie wykonane własnoręcznie. Adres Solany wpisany na stronie internetowej nie pojawia się w większym skrypcie. Zamiast tego skrypt pobiera identyfikator operatora i ustawienia ze zdalnego serwera, który również przygotowuje transakcje wyświetlane ofiarom. Przypomina to usługę hostowaną, z której korzysta wielu klientów, chociaż nie możemy zidentyfikować produktu. Pozwala to również na zmianę przeznaczenia skradzionych środków bez konieczności modyfikowania strony internetowej.
Fałszywe strony GTA 6, które badaliśmy w czerwcu, prosiły ofiary o wysłanie stałej płatności, ograniczając tym samym natychmiastową stratę do tej kwoty. Strona ta może próbować przejąć całą zawartość połączonego portfela. W zależności od zgody ofiary, atakujący może albo natychmiast przelać aktualne saldo portfela, albo uzyskać pozwolenie na przejęcie tokenów i NFT w późniejszym terminie.
Na co zwrócić uwagę przed zatwierdzeniem czegokolwiek
Samo podłączenie portfela nie pozwala stronie na pobieranie jakichkolwiek danych. Niebezpieczeństwo pojawia się, gdy zatwierdzasz transakcję lub prosisz o pozwolenie.
Ekran zatwierdzenia to ważna ostatnia linia obrony. Na przykład portfel kryptowalut Phantom twierdzi, że symuluje każdą transakcję przed jej podpisaniem i wyświetla w prostym języku podgląd tego, co się stanie, w tym ostrzeżenie, jeśli coś wygląda podejrzanie. Inne renomowane portfele robią to samo, ale nie mogą Cię ochronić, jeśli zatwierdzisz wniosek bez jego przeczytania.
Sprawdź ekran zatwierdzania portfela pod kątem dwóch sygnałów ostrzegawczych. Po pierwsze, odrzuć każdą transakcję, która przeniosłaby całe lub prawie całe Twoje saldo zamiast ceny, którą spodziewałeś się zapłacić. Po drugie, odrzuć wszelkie prośby o zatwierdzenie, zezwolenie lub przyznanie dostępu do Twoich tokenów lub NFT. Mogłoby to pozwolić atakującemu na późniejsze przeniesienie tych aktywów, a sklep sprzedający grę nie ma powodu, aby prosić o takie zezwolenie.
Jak się chronić
- Nikt jeszcze nie sprzedaje grywalnej kopii GTA 6. Rockstar sprzedaje zamówienia przedpremierowe na premierę 19 listopada. Każda strona oferująca przeciekłe, wczesne lub grywalne kopie nie jest autoryzowanym sprzedawcą.
- Prośbę o połączenie portfela na stronie gry należy traktować jako znak stop. Legalne zakupy GTA 6 są możliwe w autoryzowanych sklepach i u dystrybutorów Rockstar. Rockstar nie prosi kupujących o połączenie portfela kryptowalut ani o przesyłanie kryptowaluty na adres portfela.
- Zawsze czytaj treść ekranu zatwierdzającego i odrzucaj wszystkie płatności, które zbliżają się do całkowitego salda lub wymagają stałego dostępu.
- Nie pozwól, aby dokładne części ręczyły za resztę. Prawidłowa data premiery i autentyczne ilustracje nic nie kosztują atakującego.
- Trzymaj większe środki poza portfelem, którego używasz do przeglądania stron.
- Blokuj strony przed ich załadowaniem. Malwarebytes Browser Guard jest darmowy i blokuje oszustwa oraz złośliwe witryny podczas przeglądania stron.
Co zrobić, jeśli podłączyłeś portfel
- Przejrzyj i cofnij wszelkie uprawnienia przyznane za pośrednictwem witryny. Uprawnienia te mogą umożliwić atakującemu przejęcie zasobów w przyszłości, nawet jeśli nic nie zostało jeszcze skradzione.
- Odłącz witrynę od portfela, aby zakończyć bieżące połączenie. Nie anuluje to żadnych uprawnień, które już udzieliłeś.
- Sprawdź całą zawartość portfela, w tym tokeny i NFT w każdym łańcuchu, którego używasz.
- Jeśli środki zostały zabrane lub wprowadzono frazę odzyskiwania, przenieś wszystkie cenne środki do nowo utworzonego portfela.
- Zgłoś adres odbiorcy dostawcy portfela i publicznemu serwisowi zgłaszania oszustw. Może to pomóc dostawcom zidentyfikować adres i ostrzec innych użytkowników.
Zachowaj ostrożność wobec osób oferujących odzyskanie skradzionej kryptowaluty za opłatą. Często jest to kolejne oszustwo skierowane do tej samej ofiary.
Zakończonego transferu nie można cofnąć. Przeanalizowany przez nas kod nie żąda ani nie ujawnia frazy odzyskiwania portfela, więc samo połączenie ze stroną nie narusza tej frazy. Jeśli wpisałeś ją w dowolnym momencie procesu, potraktuj to jako osobne naruszenie i przenieś pozostałe zasoby do nowo utworzonego portfela. Wszelkie udzielone uprawnienia pozostaną aktywne do momentu ich odwołania.
Pamiętaj
Przynęta nie zmieniła się od czerwca. Nadal obiecujemy zagrać w GTA 6, zanim Rockstar je wyda, i tej obietnicy wciąż nie da się dotrzymać.
Zmieniło się to, co się za tym kryje. Jedno podejście pobierało opłatę. Inne polegało na kradzieży haseł. To wymagało zgody na dostęp do portfeli za pomocą narzędzia stworzonego do wynajmu, rekonfiguracji i kierowania na to, co ludzie będą chcieli zobaczyć w przyszłości.
Premiera GTA 6 planowana jest na 19 listopada 2026 roku, w tych samych sklepach, z których korzystają już gracze. Żadna nieautoryzowana, grywalna kopia przed premierą nie powinna być traktowana jako legalna.
Wskaźniki naruszenia bezpieczeństwa (IOC)
Infrastruktura odwadniająca
centrodigestionedellarapina[.]lifedasunerforschtelandamendederwelt[.]sbs
Adres Solana używany przez wbudowany transfer strony
21iWU6FJWJ9FKKz4Jek2CyTh2x1fqs5jawjrNgE3nHjN
