CRPx0: kampania malware kradnie kryptowaluty i dane przez fałszywe OnlyFans

Nowa kampania złośliwego oprogramowania CRPx0 wykorzystuje obietnicę darmowego dostępu do platformy OnlyFans, by infekować systemy Windows i macOS. Ofiarami mogą paść zarówno użytkownicy prywatni, jak i pracownicy firm, którzy na służbowych komputerach szukają nielegalnych metod dostępu do płatnych treści. Kampania łączy kradzież kryptowalut, masowe wykradanie danych i ransomware, co czyni ją szczególnie niebezpieczną.

Jak działa przynęta i pierwsze stadium infekcji

Atakujący rozsyłają plik OnlyfansAccounts.zip, który rzekomo zawiera listę darmowych kont do serwisu OnlyFans. Jak podkreślają badacze z Aryaka Threat Research Labs, wewnątrz archiwum znajduje się plik skrótu (Onlyfans Accounts.lnk), który wyświetla użytkownikowi plik tekstowy z pozornymi danymi logowania. W tle jednak uruchamiana jest instalacja złośliwego oprogramowania.

Mechanizm socjotechniczny jest przemyślany: osoby aktywnie poszukujące nielegalnego dostępu do płatnych treści są bardziej skłonne zaryzykować i uruchomić nieznany plik. W rezultacie kampania trafia do grupy podwyższonego ryzyka, która może nie zachowywać standardowych środków ostrożności.

Trzy fazy ataku: kryptowaluty, dane i ransomware

CRPx0 działa w trzech etapach. W pierwszym malware monitoruje schowek systemowy. Gdy użytkownik kopiuje adres portfela kryptowalutowego, oprogramowanie podmienia go na adres kontrolowany przez atakujących. W efekcie środki trafiają do przestępców, a nie do zamierzonego odbiorcy.

Druga faza to kradzież danych. Atakujący za pośrednictwem serwera C2 wybierają, które pliki mają zostać skopiowane – dokumenty, multimedia, pliki programistyczne i projektowe. Dane są następnie przesyłane na zewnątrz, co stanowi podstawę do podwójnego wymuszenia.

Trzeci etap to szyfrowanie plików. Gdy malware otrzyma komendę „encryption”, pobiera skrypt crypter.py i uruchamia go przy użyciu interpretera Pythona. Pliki są szyfrowane algorytmem AES z unikalnym kluczem, a następnie zapisywane z rozszerzeniem .crpx0. Na pulpicie pojawia się żądanie okupu w językach angielskim, rosyjskim i chińskim.

Skala i dostępność wykradzionych danych

W momencie publikacji analizy kampania miała na koncie 38 ofiar, z czego 23 zestawy danych były już dostępne na stronie wycieków. Atakujący oferują dostęp do wszystkich obecnych i przyszłych leaków za jednorazową opłatą 500 dolarów w kryptowalucie. Deklarowana objętość skradzionych danych to 10 839 terabajtów – liczba ta może być zawyżona, ale wskazuje na skalę operacji.

Warto podkreślić, że kampania nie jest ukierunkowana na konkretne branże czy regiony. Jak zauważają badacze, ofiarą może paść każdy, kto da się zwieść obietnicy darmowego konta. Natomiast użytkownicy firmowi, którzy korzystają ze służbowych urządzeń, narażają nie tylko siebie, ale i całą organizację.

Jak się chronić przed CRPx0 i podobnymi zagrożeniami

Podstawową zasadą jest unikanie pobierania plików z niepewnych źródeł, zwłaszcza gdy oferują one nielegalny dostęp do płatnych treści. W środowisku firmowym zaleca się wdrożenie blokowania wykonywania skryptów Python oraz ograniczenie możliwości uruchamiania plików LNK pochodzących z archiwów ZIP.

Dobrą praktyką jest również stosowanie rozwiązań EDR (Endpoint Detection and Response), które mogą wykryć nietypowe zachowania, takie jak podmiana schowka czy masowe szyfrowanie plików. Regularne tworzenie kopii zapasowych w trybie offline oraz włączenie uwierzytelniania wieloskładnikowego (MFA) dla kluczowych usług dodatkowo zmniejsza ryzyko poważnych strat.

Kampania CRPx0 pokazuje, że ataki wieloetapowe, łączące kradzież kryptowalut, wyciek danych i ransomware, stają się coraz bardziej powszechne. Należy śledzić komunikaty zespołów bezpieczeństwa i aktualizować oprogramowanie, by minimalizować ryzyko infekcji.