Μια νέα, επικίνδυνη απειλή κάνει την εμφάνισή της στο οικοσύστημα των κρυπτονομισμάτων, στοχεύοντας χρήστες Android σε παγκόσμιο επίπεδο. Το SeedSnatcher, καμουφλαρισμένο πίσω από την αθώα ονομασία εφαρμογής “Coin”, διανέμεται μέσω Telegram και έχει σχεδιαστεί αποκλειστικά για να αποσπά τις φράσεις ανάκτησης ψηφιακών πορτοφολιών, ενώ παράλληλα επιτρέπει στους χειριστές του να εκτελούν απομακρυσμένες εντολές στις μολυσμένες συσκευές.
Ένα οργανωμένο και τεχνικά ώριμο οικοσύστημα
Το SeedSnatcher, με πακέτο εγκατάστασης com.pureabuladon.auxes, δεν λειτουργεί ως μεμονωμένο malware, αλλά αποτελεί μέρος μιας καλοστημένης καμπάνιας με δομή που θυμίζει επαγγελματική εγκληματική οργάνωση. Οι προωθητικές ομάδες χρησιμοποιούν μοναδικά IDs για να παρακολουθούν εγκαταστάσεις, θύματα και έσοδα, δημιουργώντας ένα δίκτυο προμηθειών που θυμίζει affiliate μοντέλο.
Οι αναλυτές της Cyfirma αποκάλυψαν ότι το malware επικοινωνεί συνεχώς με τον C2 server του μέσω WebSocket στο apivbe685jf829jf[.]a2decxd8syw7k[.]top, γεγονός που επιτρέπει στον εισβολέα να λαμβάνει και να εκτελεί εντολές σε πραγματικό χρόνο. Στις οθόνες διαχείρισης των επιτιθέμενων εμφανίζονται ήδη πολλές μολυσμένες συσκευές, στοιχείο που δείχνει ότι το οικοσύστημα βρίσκεται σε πλήρη παραγωγική λειτουργία.
Δείτε επίσης: Το “Sryxen” malware καταφέρνει να παρακάμπτει την κρυπτογράφηση του Chrome
Η «ήσυχη» κατάληψη της συσκευής
Ένα από τα μεγαλύτερα πλεονεκτήματα του SeedSnatcher είναι ο τρόπος με τον οποίο ξεγελά την ασφάλεια του Android. Αρχικά ζητά ελάχιστα δικαιώματα – όπως πρόσβαση σε SMS – ώστε να μην κινήσει υποψίες. Μόλις εγκατασταθεί, αρχίζει να αυξάνει σταδιακά τα προνόμιά του, αξιοποιώντας διαδικασίες του Android για να αποκτά πρόσβαση σε κρίσιμα δεδομένα και λειτουργίες της συσκευής.
Η εσωτερική του αρχιτεκτονική αξιοποιεί:
- dynamic class loading,
- stealthy WebView content injection,
- εντολές και λειτουργίες κωδικοποιημένες ως αριθμούς αντί για περιγραφές.
Αυτή η τεχνική obfuscation δυσκολεύει αισθητά την ανίχνευση από συστήματα ασφαλείας, ενώ επιτρέπει στο malware να παραμένει ενεργό χωρίς εμφανή σημάδια.
Ύποπτες ρίζες και επαγγελματισμός
Οι ενδείξεις δείχνουν ότι οι επιτιθέμενοι είναι Κινέζοι ή τουλάχιστον μιλούν κινεζικά, καθώς όλες οι οθόνες περιβάλλοντος που αναλύθηκαν είναι εξ ολοκλήρου στα κινεζικά. Η συνολική υποδομή υποδεικνύει μια οργάνωση με σημαντικούς πόρους, τεχνική κατάρτιση και ξεκάθαρο οικονομικό κίνητρο.
Το μοντέλο διανομής, οι μηχανισμοί υποδομής, η χρήση affiliate tracking και ο αριθμός μολυσμένων θυμάτων συνθέτουν μια καμπάνια μεγάλης κλίμακας που έχει ως στόχο τη συστηματική κλοπή ψηφιακών περιουσιακών στοιχείων.
Δείτε επίσης: Το botnet Aisuru πίσω από DDoS επίθεση 29,7 Tbps
Πλαστογραφημένες διεπαφές πορτοφολιών: Η μεγάλη παγίδα του SeedSnatcher
Το ισχυρότερο όπλο του SeedSnatcher είναι η εξαιρετικά ρεαλιστική πλαστογράφηση διεπαφών δημοφιλών crypto wallets. Το malware εντοπίζει ποια εφαρμογή πορτοφολιού ανοίγει ο χρήστης και ενεργοποιεί μια ψεύτικη overlay οθόνη, σχεδιασμένη ώστε να μοιάζει απόλυτα με την αυθεντική.
Τα πορτοφόλια που στοχεύει περιλαμβάνουν:
Trust Wallet, MetaMask, TokenPocket, imToken, Coinbase Wallet, TronLink, Binance Chain Wallet, OKX Wallet και άλλα.
Στην περίπτωση του Trust Wallet, το SeedSnatcher αντιγράφει μέχρι και το πραγματικό όνομα πακέτου (com.wallet.crypto.trustapp), χρησιμοποιώντας πανομοιότυπα UI στοιχεία για να μην υπάρξει καμία υποψία.
Το αποτέλεσμα; Ο χρήστης πιστεύει ότι βρίσκεται στη νόμιμη εφαρμογή και εισάγει τη φράση seed του — ουσιαστικά παραδίδοντας το πορτοφόλι του στον εισβολέα.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
BIP39: Η απόλυτη τεχνική εξαπάτησης
Σε αντίθεση με άλλα malware που απλώς καταγράφουν ό,τι πληκτρολογείται, το SeedSnatcher εφαρμόζει ένα πλήρες σύστημα επικύρωσης BIP39. Φορτώνει ολόκληρο το wordlist των έγκυρων λέξεων και ελέγχει σε πραγματικό χρόνο αν η μνημονική φράση που εισάγει το θύμα είναι έγκυρη.
Αυτό σημαίνει ότι οι επιτιθέμενοι λαμβάνουν σωστούς, πλήρως λειτουργικούς seed codes, έτοιμους για άμεση εισαγωγή – χωρίς λάθη ή αποτυχημένες προσπάθειες ανάκτησης. Έτσι, οι μεταφορές κεφαλαίων πραγματοποιούνται γρήγορα, αθόρυβα και χωρίς δυνατότητα αναστροφής.
Δείτε επίσης: Χάκερ χρησιμοποιούν το Evilginx για κλοπή session cookies και παράκαμψη MFA
Ένας από τους πιο επικίνδυνους mobile crypto stealers σήμερα
Μόλις η φράση ανάκτησης φτάσει στον server των επιτιθέμενων, οι δράστες αποκτούν πλήρη έλεγχο του πορτοφολιού. Τα ψηφιακά assets μεταφέρονται σε δικά τους adresess χωρίς τη δυνατότητα ανάκτησης από το θύμα.
Ο συνδυασμός τεχνικής πολυπλοκότητας, πλαστογράφησης UI και πλήρους επικύρωσης BIP39 καθιστά το SeedSnatcher μία από τις πιο απειλητικές μορφές mobile malware που έχουν στοχεύσει ποτέ την κοινότητα των crypto χρηστών.
Σε μια εποχή όπου οι χρήστες διαχειρίζονται όλο και περισσότερα κεφάλαια από το κινητό τους, το SeedSnatcher αποδεικνύει πόσο εύκολα μπορεί μια συσκευή να μετατραπεί στον πιο αδύναμο κρίκο – και πόσο κρίσιμη είναι η εγρήγορση απέναντι σε εφαρμογές που υπόσχονται «εργαλεία» αλλά κρύβουν παγίδες.
