Deux campagnes malveillantes ont été lancées récemment, tentant de faire croire aux victimes qu'Elon Musk et Tesla offraient gratuitement du bitcoin.
Si les tentatives de piratage liées à la pandémie ne manquent pas, Elon Musk et Tesla figurent encore en bonne place des duperies du Web. Ce mois-ci, le Lab Bitdefender a identifié deux campagnes cybercriminelles utilisant le nom du milliardaire, la marque de voitures électroniques et l'attrait pour le bitcoin pour arnaquer des internautes peu attentionnés ou trop attirés par l'appât du gain. Bien que basées sur les mêmes ingrédients de popularité, elles utilisent des procédures d'escroquerie différentes.
Une campagne rendue ludique par le biais d'un « concours » gagnant
La première des deux campagnes malveillantes, repérée autour du 15 mai, consiste pour les spammeurs à envoyer des emails frauduleux aguicheurs autour de la célèbre cryptomonnaie. Dans leurs courriers électroniques, les hackers offrent à leurs destinataires la possibilité de recevoir un cadeau en bitcoin, le tout venant des prétendues mains du département marketing de Tesla.
Cette campagne a directement été liée à un précédent assaut d'extorsion, identifié un peu plus tôt ce mois-ci par le Lab Bitdefender. Dès leur campagne initiale, les pirates informatiques s'étaient servis de données issues de fuites. Dans les faits, chaque email contient une pièce-jointe au format PDF. Mais ce PDF ne comporte, et c'est surprenant, aucune charge néfaste.
Non, en fait, la pièce-jointe fait office de règlement à suivre pour justement pouvoir participer à un concours Bitcoin organisé par Tesla, et ainsi recevoir le fameux cadeau. « Tout ce que vous avez à faire est d'envoyer n'importe quelle quantité de Bitcoin (BTC), (entre 0,1 BTC et 50 BTC) à notre adresse de contribution officielle pour cet événement, et une fois que nous aurons reçu votre transaction, nous vous renverrons immédiatement (2x) à l'adresse à partir de laquelle vous avez envoyé le BTC », indique le contenu de la pièce-jointe, qui rappelle en introduction qu'il s'agit d'un concours.
Pour éviter de tomber dans le piège des filtres anti-spam, les attaquants ont la malice d'associer le PDF, l'objet de l'email et les messages inclus à la personne directement ciblée. Certains de ces courriers portent l'objet « ELON MUSK 5 000 B T C GIVEAWAY! », d'autres incluent carrément le nom de la potentielle victime.
Bitdefender nous apprend que près de 80 % des emails frauduleux seraient envoyés depuis des IP localisées en Allemagne. Les attaques ciblent majoritairement des utilisateurs basés en Europe et en Amérique du Nord. Si l'on ne connaît pas le nombre de personnes ayant pu tomber dans le piège, on sait que la campagne a joui d'un haut taux d'impression en Suède (79,26 % des emails ont atteint des utilisateurs), au Royaume-Uni (11 %) et aux États-Unis (9,22 %).
La promesse de récupérer deux fois sa mise
Il existe donc une deuxième version de cette campagne, de cette crypto-fraude. Cette variante met cette fois en valeur le côté créatif et imaginatif des spammeurs. En effet, le mail en question contient un QR Code d'adresse Bitcoin, que les cibles sont évidemment invitées à scanner.
En début d'année, Tesla avait révélé dans une déclaration au gendarme financier américain avoir acheté pour 1,5 milliard de dollars de bitcoins, investissant ainsi une partie de sa trésorerie dans la cryptomonnaie. Forcément, et même si les rapports entre Bitcoin et Elon Musk ont été tendus durant un - court - moment, l'intérêt de Tesla pour le BTC n'est pas tombé dans l'oreille d'un sourd. Les cybercriminels ont donc ciblé les investisseurs en cryptomonnaie, pas moins de 30 000 ayant été atteints (atteints ne signifie pas « piégés ») dans le monde. Bitdefender relève cette fois que près de 17 % des spams proviennent d'adresses IP brésiliennes, 14,15 % sont issues de Russie, 6,3 % d'Indonésie, 4,9 % de Turquie, 4,6 % d'Ukraine et 4,4 % d'Espagne.
Comme à chaque fois, les pirates ont usé de l'ingénierie sociale pour dérober des centaines de milliers de dollars aux victimes, leur promettant là aussi de récupérer deux fois leur mise (pour 1 bitcoin envoyé, vous en récupérez 2, sur le papier), avec une perte moyenne de 1 965,21 dollars par personne.
Source : Lab Bitdefender
.
et le tour est joué
