Gli esperti di Kaspersky hanno scoperto una nuova tecnica che i criminali informatici stanno utilizzando per truffare i cripto-investitori attraverso l’uso di Lightshot, un’app che consente agli utenti di condividere screenshot rapidamente e facilmente. Obiettivo: ottenere denaro da cripto-investitori fin troppo curiosi.
Su Lightshot chiunque può vedere gli screenshot pubblicati senza autenticazione e senza un account, il che rende il servizio veloce e comodo da usare ma senz’altro non molto sicuro. Inoltre, per visualizzare uno screenshot, non è nemmeno necessario il link specifico; gli URL sono sequenziali, quindi, per esempio, se si sostituisce un carattere in uno di essi con il successivo in ordine si aprirà un’altra immagine.
Il processo può anche essere automatizzato. Un semplice script per forzare gli URL e scaricarne il contenuto richiede solo pochi minuti di scrittura.
Non si tratta di un bug: il servizio avverte gli utenti che ogni immagine caricata è pubblica, tuttavia, viste le note fughe di informazioni di valore tramite Lightshot, evidentemente non tutti leggono i caratteri in piccolo.
Pur mantenendo privati i propri dati di valore e controllando sempre gli screenshot per evitare effetti collaterali indesiderati, gli utenti potrebbero accorgersi che il servizio nasconde certe insidie. Per esempio, in un giorno qualsiasi il portale Lightshot contiene schermate con dettagli per accedere a un wallet di criptovalute. Talvolta, le schermate sembrano suggerire che l’account sia stato condiviso deliberatamente, alcune mostrano richieste di aiuto, altre sono bizzarre e non correlate.
In altri casi sembra che le “credenziali” siano arrivate su Lightshot come per caso o per disattenzione, per esempio degli screenshot che sembravano essere e-mail di recupero password per dei wallet di criptovalute.
Una volta che l’utente entra nell’URL nello screenshot in cerca di facili guadagni, si troverà su un sito web che si spaccia per un exchange di criptomonete. Inserendo le credenziali si accede ad un account falso che sembra contenere una quantità impressionante di criptovaluta, e dall’interno dell’account, la vittima può provare a ritirare i fondi e trasferirli sul proprio conto.
In questo caso, l’exchange richiede una piccola commissione rispetto all’intera somma.Essendo tutto falso, non si farà altro che riempire le tasche dei truffatori. Una commissione di 0,001-0,0015 BTC, per esempio, arriva a circa 60-90 dollari e, al momento della pubblicazione di Kaspersky, circa 0,1 BTC (circa 6.000 dollari) risultano essere stati trasferiti al wallet delle “commissioni”.
https://www.kaspersky.it/blog/cryptoscam-in-lightshot/24319/
