تحلیل‌های اخیر نشان‌دهنده یک کمپین فیشینگ پیچیده است که در آن عامل تهدید (Threat Actor) با استفاده از تبلیغات جعلی در Google Ads، کاربران کیف پول‌های سخت‌افزاری Ledger را هدف قرار داده است. در این حمله، مهاجمان با بهره‌گیری از زیرساخت‌های معتبری مانند Google Cloud Storage و Vercel، کاربران را به صفحاتی هدایت کرده‌اند که رابط کاربری Ledger را شبیه‌سازی می‌کنند.
زنجیره حمله و زیرساخت
این کمپین از یک زنجیره هدایت (Redirect Chain) چندمرحله‌ای استفاده می‌کند تا شناسایی توسط سیستم‌های امنیتی دشوار شود. روند حمله به شرح زیر است:
- تبلیغات اسپانسر شده: مهاجمان از یک حساب تبلیغاتی تأیید شده (Verified) در گوگل استفاده کردند تا اعتماد کاربران را جلب کنند.
- هدایت چندمرحله‌ای: پس از کلیک روی تبلیغ، کاربر ابتدا به یک URL در Google Cloud Storage و سپس به دامنه‌های Vercel هدایت می‌شود.
- استفاده از iFrame: در نهایت، کاربر به صفحه‌ای در Google Sites منتقل می‌شود که محتوای فیشینگ را درون یک iFrame نمایش می‌دهد.
نکته قابل توجه این است که دامنه‌های Vercel مورد استفاده در این زنجیره، هر ۱۵ تا ۲۰ دقیقه تغییر می‌کنند تا از مسدود شدن بر اساس شهرت دامنه (Domain Reputation) جلوگیری شود.
مکانیسم سرقت عبارت بازیابی (Recovery Phrase)
صفحه فیشینگ با تقلید دقیق از رابط کاربری رسمی Ledger، کاربر را متقاعد می‌کند که برای به‌روزرسانی Firmware یا تأیید مالکیت دستگاه، مراحل خاصی را طی کند. در این مرحله، از کاربر خواسته می‌شود تا عبارت بازیابی محرمانه (Secret Recovery Phrase) خود را وارد کند.
برای افزایش نرخ موفقیت، مهاجمان ویژگی‌های زیر را پیاده‌سازی کرده‌اند:
- تکمیل خودکار (Autocomplete): صفحه فیشینگ از لیست کلمات استاندارد BIP-39 استفاده می‌کند تا هنگام تایپ، کلمات پیشنهادی را به کاربر نمایش دهد.
- تأیید دو مرحله‌ای جعلی: پس از اولین ارسال عبارت بازیابی، سیستم پیام «عبارت نامعتبر» نمایش می‌دهد تا کاربر برای اطمینان، مجدداً عبارت را وارد کند. این کار باعث اطمینان مهاجم از صحت عبارت سرقتی می‌شود.
پیامدهای امنیتی
با سرقت عبارت بازیابی (SRP)، عامل تهدید می‌تواند کیف پول دیجیتال قربانی را در هر نرم‌افزار سازگاری بازیابی کرده و بدون نیاز به دسترسی فیزیکی به دستگاه Ledger، تمامی دارایی‌های رمز ارز را منتقل کند.
