«Կասպերսկի» ընկերության Կիբեռմիջադեպերին արձագանքման գլոբալ թիմի (Kaspersky Global Emergency Response Team, GERT)  փորձագետները հայտնաբերել են խարդախ արշավ, որն ուղղված է ամբողջ աշխարհում Windows-ի և MacOS-ի օգտատերերի կրիպտոարժույթի և անձնական տվյալների գողությանը: Այն ստացել է Tusk անվանումը։ Ենթադրվում է, որ գրոհների հետևում կանգնած են ռուսալեզու չարագործները։ Տվյալներ գողանալու համար օգտագործվում են ֆիշինգային ռեսուրսներ, ինֆոստիլերներ և կլիպերներ:

«Կասպերսկի» ընկերությունը տեղեկացնում է, որ սկզբում չարագործները զոհերին գայթակղելով հասցնում են ֆիշինգային կայքեր, որոնք նմանակում են տարբեր լեգիտիմ ծառայությունների դիզայնն ու միջերեսը: Նրանց ուշադրությունը գրավելու համար չարագործներն օգտագործում են տարածված թեմաներ, ինչպիսիք են web3-ը, կրիպտոարժույթը, արհեստական բանականությունը, առցանց խաղերը: Հայտնաբերված որոշ էջեր նմանակում են կրիպտոհարթակ, առցանց դերային խաղ և AI թարգմանիչ: Ուշադիր ուսումնասիրելիս ֆիշինգային ռեսուրսներում կարելի է տեսնել փոքր տարբերություններ բնօրինակից, օրինակ՝ անվանման մեջ կամ URL-ում: Սակայն, ընդհանուր առմամբ, դրանք շատ արժանահավատ տեսք ունեն, ինչը մեծացնում է հաջող գրոհի հավանականությունը:

Ֆիշինգային ռեսուրսները թույլ են տալիս կորզել օգտատերերի գաղտնի տվյալները, օրինակ՝ կրիպտոդրամապանակների գաղտնի բանալիները, ինչպես նաև զոհի սարք ներբեռնել վնասաբեր ԾԱ։ Հետագայում չարագործները կարող էին կեղծ կայքի միջոցով հասանելիություն ստանալ կրիպտոդրամապանակին և վնասաբեր ծրագրերի միջոցով դրանից դուրս բերել միջոցները կամ գողանալ դրամապանակի հաշվառման տվյալները, վավերապայմանները և այլ տեղեկատվություն։

Արշավի շրջանակներում չարագործները տարածել են այնպիսի ինֆոստիլերներ, ինչպիսիք են Danabot-ը և Stealc-ը, ինչպես նաև կլիպերներ։ Ինֆոստիլերները  նախատեսված են գաղտնի տվյալների (այդ թվում՝ մուտքանունների և գաղտնաբառերի) գողության համար, իսկ կլիպերները ձեռք են գցում տվյալները փոխանակման բուֆերից: Օրինակ՝ եթե օգտատերը կրկնօրինակի էլեկտրոնային դրամապանակի հասցեն փոխանակման բուֆեր, ապա կլիպերը կարող է այն փոխարինել վնասաբեր հասցեով:

Վնասաբեր ԾԱ-ի ներբեռնման ֆայլերը տեղակայվում են Dropbox-ում: Դրանց ներբեռնումից հետո զոհը հայտնվում է հարմար միջերեսով գրավիչ ռեսուրսում, որտեղ նրան առաջարկվում է մուտք գործել կամ պարզապես չփակել էջը։ Այդ ժամանակ ներբեռնվում են այլ վնասաբեր նիշքեր։

Tusk-ի վնասաբեր կոդը պարունակում է ռուսերեն տողեր: Բացի այդ, վնասաբեր ծրագրեր ներբեռնելու նիշքերում հանդիպել է «Մամոնտ» բառը, որը ռուսալեզու չարագործներն օգտագործում են զոհին մատնանշելու համար: Գրոհողները, ամենայն հավանականությամբ, ֆինանսական նպատակներ են հետապնդում։ «Կասպերսկի»-ի փորձագետները դա արտացոլել են արշավի անվանման մեջ՝ Tusk («Ժանիք»). մամոնտներին որսում էին հանուն արժեքավոր ժանիքների։

«Մեր վերլուծությունը ցույց տվեց, որ խոսքը մանրակրկիտ մտածված արշավի մասին է։ Դա, ի թիվս այլնի, մատնանշում է այն հանգամանքը, որ գրոհները բաղկացած են մի քանի փուլերից և փոխկապակցված են։ Դրանց հետևում կարող է լինել ինչպես խումբ, այնպես էլ ֆինանսական նպատակներ հետապնդող անհատ չարագործ: Kaspersky Threat Intelligence Portal-ի շնորհիվ մենք կարողացանք հայտնաբերել ենթաարշավներ տարբեր տարածված, այդ թվում՝ կրիպտոարժույթի, արհեստական բանականության, առցանց խաղերի, ինչպես նաև 16 այլ թեմաներով: Սա խոսում է այն մասին, որ չարագործները կարող են արագ հարմարվել արդիական օրակարգին և այն օգտագործել օգտատերերի վրա գրոհների համար»,- մեկնաբանում է «Կասպերսկի» ընկերության միջադեպերի հայտնաբերման և արձագանքման կոմպետենցիայի կենտրոնի ղեկավար Կիրիլ Սեմյոնովը: