Ny våg av kryptovaluta-malware
En ny våg av kryptovaluta-malware sveper över den digitala tillgångsvärlden, och den här gången är aktörerna mer listiga och mångsidiga än någonsin. I frontlinjen av denna nya hotbild finns Librarian Ghouls, en ransomware-grupp med fokus på Ryssland, samt Crocodilus, en plattformoberoende tjuv med rötter i Android-banktrojaner.
”Librarian Ghouls senaste kampanj använder legitimerad programvara som AnyDesk för att dölja kryptovaluta-mining och keyloggers. När de väl kommit in i systemet är de tysta – fram till midnatt.” — Kaspersky Threat Intelligence (9 juni 2025)
Librarian Ghouls
Dessa APT-grupp förkläddar sina attacker som rutinmässiga dokument (t.ex. betalningsorder) i phishing-e-post. När dessa öppnas aktiveras deras malware: De installerar 4t Tray Minimizer för att dölja skadliga processer, använder AnyDesk för fjärråtkomst och XMRig för att mina Monero. De stjäl kryptovalutaplånboksuppgifter och registreringsnycklar. Nytt för 2025: malware aktiveras endast på natten för att undvika upptäckter.
Deras attacker är inte bara brutala stöldaktioner; istället kombinerar de teknisk expertis med psykologiska påtryckningar och slår till i varje steg av kryptovalutacykeln. Librarian Ghouls har även optimerat sin loader så att den kan förklä sig som legitima affärsapplikationer, ofta genom att implantera sitt malware i vad som verkar vara ofarliga dokument såsom betalningsorder eller fakturor.
Det mest unika med denna grupp är deras användning av tidsbaserade utlösare: malware aktiveras endast på natten, vilket minskar sannolikheten för att säkerhetsteam upptäcker dem under arbetstid. Detta möjliggör stjälande av plånboksuppgifter, mining av Monero med XMRig och exfiltrering av känslig information utan att bli upptäckta. Offren kanske inte ens inser att något är fel förrän veckor senare, när deras plånböcker har tömts och deras system har blivit komprometterade bortom enkel återställning.
Crocodilus
Ursprungligen en turkisk banktrojan riktar sig Crocodilus nu mot globala kryptovalutaanvändare genom:
- Falska appar som förklär sig som Coinbase, MetaMask eller miningverktyg;
- Automatiserade fröfrasinsamlarescannrar som genomsöker enheter efter plånboksdata;
- Social ingenjörskonst via falska ”Bank Support”-kontakter i telefonen.
”Crocodilus nya parser extraherar fröfraser med kirurgisk precision. Ett klick på en falsk X-länk, så är din plånbok borta.” — ThreatFabric MTI Team (3 juni 2025)
Crocodilus har också snabbt utvecklats från ett regionalt hot till ett globalt sådant. Inte längre begränsad till Android, riktar den sig nu även mot skadliga webbläsartillägg, klonade skrivbordsapplikationer och till och med Telegram-botar för att sprida sin räckvidd. Malware:s mest dödliga funktion är dess förmåga att stjäla fröfraser från urklipp, skärmdumpar och autofyll-data, ibland till och med innan offret är medvetet om att de har blivit måltavlor. Hotaktörer börjar även erbjuda tillgång till de komprometterade plånböckerna till försäljning på darknet-forum, vilket har skapat en blomstrande svart marknad för stulna kryptovalutatillgångar.
Ibland spärrar Crocodilus till och med oskyldiga ”support”-nummer i offrens telefoner, vilket lurar användarna att lämna känslig information under förevändningen av teknisk support. Hackare utnyttjar X (Twitter) med:
- Kapade verifierade konton som främjar bedrägliga airdrops.
- QR-koder som länkar till plånboksdränerande smarta kontrakt.
- AI-deepfake-supportchattar som imiterar riktiga agenter.
Fallen av deepfake-svindel
Ett tydligt exempel är i maj 2025, då en deepfake av ”Elon Musk” livestreamade och uppmanade tittarna att skanna en QR-kod för en ”TeslaCoin”-giveaway, vilket ledde till att offren förlorade över $200K på endast 30 minuter.
En av de mest hotfulla trenderna är utvecklingen av realtids deepfake-supportchattar. Hackare använder AI-drivna avatarer för att efterlikna erkända varumärken eller influencers på X (Twitter), vilket erbjuder autentisk och interaktiv ”hjälp” som lurar offren att dela sina fröfraser eller privata nycklar. Deepfakes är så övertygande att även erfarna kryptovalutaanvändare har fallit offer.
I ett av de mest anmärkningsvärda fallen annonserade en deepfake ”Elon Musk” livestream på X en falsk TeslaCoin-giveaway och orsakade hundratusentals dollar i förluster på bara några minuter.
Skydd mot hot
Från Quillaudits 2025-guide: För att skydda sig mot sådana hot måste användarna tillämpa en fler nivåer av OPSEC-strategi. Experter rekommenderar följande:
- Använda hårdvaruplånböcker för investeringar av hög värde;
- Aktivera tvåfaktorsautentisering;
- Alltid aldrig dela fröfraser – aldrig ens med påstådda supportpersonal eller legitima sociala konton;
- Regelbundna plånboksgranskningskontroller;
- Hålla programvaran uppdaterad;
- Separera kryptovalutaoperationer i enheter för engångsbruk.
I takt med att angripare blir alltmer innovativa och uppfinningsrika är den bästa försvarsmekanismen att förbli välinformerad och vara tillräckligt skeptisk.
