Analyse des incidents d'attaque Bom de malware

Le 14 février 2025, plusieurs utilisateurs ont signalé que leurs actifs dans leur portefeuille avaient été volés. Après enquête, les cas de vol présentent tous des caractéristiques de fuite de mots de passe mnémotechniques ou de clés privées. Il a été découvert que la plupart des utilisateurs victimes avaient installé et utilisé une application appelée BOM. Une analyse approfondie a révélé que cette application était en réalité un logiciel de fraude soigneusement déguisé. Les malfaiteurs ont utilisé ce logiciel pour inciter les utilisateurs à autoriser, obtenant illégalement l'accès aux mots de passe mnémotechniques/clés privées, et ont ensuite procédé à un transfert systématique des actifs et à leur dissimulation.

Analyse des malware

Une équipe de sécurité a collecté et analysé des fichiers apk de l'application BOM sur les téléphones de certains utilisateurs, et a tiré les conclusions suivantes :

1. Cette application malveillante trompe les utilisateurs en leur faisant autoriser l'accès aux fichiers locaux et à la galerie après être entrée sur la page du contrat, sous prétexte de nécessité d'exécution.

2. Après avoir obtenu l'autorisation, l'application scanne et collecte les fichiers multimédias dans l'album photo de l'appareil en arrière-plan, puis les empaquette et les télécharge sur le serveur. Si des mots de passe ou des informations relatives à des clés privées sont présents dans les fichiers ou l'album de l'utilisateur, des personnes malveillantes pourraient utiliser les informations collectées pour voler les actifs du portefeuille de l'utilisateur.

L'analyse du processus a révélé les points suspects suivants :

• La signature de l'application n'est pas conforme, le sujet est une chaîne aléatoire.
• Un grand nombre de permissions sensibles sont enregistrées dans le fichier AndroidManifest.
• Développé avec le framework multiplateforme uniapp, la logique principale se trouve dans app-service.js
• Déclencher la remontée des informations sur l'appareil lors du chargement de la page de contrat
• Tromper les utilisateurs en leur faisant autoriser l'accès à la galerie sous prétexte que l'application a besoin de fonctionner correctement.
• Lire et empaqueter les fichiers de la galerie après avoir obtenu les autorisations

Analyse des fonds sur la chaîne

Selon l'analyse de suivi en chaîne, l'adresse principale de vol a déjà siphonné les fonds d'au moins 13 000 utilisateurs, réalisant un bénéfice de plus de 1,82 million de dollars.

La première transaction de cette adresse est apparue le 12 février 2025, et les fonds initiaux proviennent d'une adresse marquée comme "vol de clé privée".

Analyse des flux de fonds :

• BSC : bénéfice d'environ 37 000 $, utilisant souvent un certain DEX pour échanger une partie des jetons contre des BNB
• Ethereum : bénéfice d'environ 280 000 dollars, la plupart provenant de transferts inter-chaînes d'autres chaînes.
• Polygon : bénéfice d'environ 37 000 à 65 000 dollars, la plupart des jetons ont été échangés contre POL via un certain DEX.
• Arbitrum : bénéfice d'environ 37 000 $, échange de jetons contre de l'ETH et transfert inter-chaînes vers Ethereum
• Base : bénéfice d'environ 12 000 dollars, échange de jetons contre de l'ETH et passage en chaîne vers Ethereum

Une autre adresse de hacker a réalisé un bénéfice d'environ 650 000 dollars, impliquant plusieurs chaînes, et les USDT concernés ont tous été transférés vers une adresse TRON. Une partie des fonds a été transférée vers une adresse qui avait déjà interagi avec une certaine plateforme de paiement.

![OKX et SlowMist publient conjointement｜Le malware Bom a touché des dizaines de milliers d'utilisateurs, volant plus de 1,82 million de dollars](