Το ενδιαφέρον για εφαρμογές τεχνητής νοημοσύνης που υπόσχονται αυτοματοποιημένες συναλλαγές κρυπτονομισμάτων και διαχείριση χαρτοφυλακίου δημιουργεί νέες ευκαιρίες εξαπάτησης. Σύμφωνα με την τελευταία έκθεση Threat Insights Report της HP, κυβερνοεγκληματίες προωθούν ψεύτικους AI trading agents για να πείσουν χρήστες να εγκαταστήσουν κακόβουλο λογισμικό. Στόχος τους είναι η υποκλοπή στοιχείων πρόσβασης σε ψηφιακά πορτοφόλια και, τελικά, η κλοπή των κρυπτονομισμάτων. Η έκθεση εξετάζει επιθέσεις που εντοπίστηκαν από τον Απρίλιο έως τον Ιούνιο του 2026, αξιοποιώντας δεδομένα από εκατομμύρια τερματικές συσκευές που χρησιμοποιούν το HP Wolf Security.
Η παγίδα ξεκινά από μια ελκυστική υπόσχεση: ένας ψηφιακός βοηθός θα παρακολουθεί την αγορά και θα πραγματοποιεί συναλλαγές για λογαριασμό του χρήστη. Στην εκστρατεία που ανέλυσαν οι ερευνητές, ένας παραπλανητικός ιστότοπος δανειζόταν το όνομα γνωστού εργαλείου AI για να αποκτήσει αξιοπιστία. Οι επισκέπτες οδηγούνταν εκεί μέσω διαφημίσεων και χειραγώγησης αποτελεσμάτων αναζήτησης. Το αρχείο που παρουσιαζόταν ως πρόγραμμα εγκατάστασης διένειμε το Needle Stealer, μετατρέποντας την αναζήτηση ενός εργαλείου επενδύσεων σε αφετηρία παραβίασης. Η αλυσίδα μόλυνσης αξιοποιούσε μάλιστα ένα νόμιμο πρόγραμμα, υπογεγραμμένο από τη Microsoft, για να φορτώσει κακόβουλο κώδικα, δυσκολεύοντας την αναγνώριση της απειλής.
Μετά την εγκατάσταση, το κακόβουλο λογισμικό αναζητά στο πρόγραμμα περιήγησης επεκτάσεις πορτοφολιών, όπως Coinbase Wallet και MetaMask. Όταν τις εντοπίσει, επιχειρεί να τις αντικαταστήσει με κακόβουλες απομιμήσεις. Ο χρήστης συνεχίζει να βλέπει ένα περιβάλλον που μοιάζει γνώριμο, όμως τα στοιχεία που πληκτρολογεί καταλήγουν στους επιτιθέμενους. Το κρίσιμο σημείο είναι ότι η εξαπάτηση συνεχίζεται μέσα στο ίδιο το εργαλείο που χρησιμοποιεί για τις συναλλαγές του, περιορίζοντας τις πιθανότητες να αντιληφθεί εγκαίρως την αλλαγή.
Η συγκεκριμένη υπόθεση αναδεικνύει πώς η δημοτικότητα του Agentic AI αξιοποιείται ως δέλεαρ κοινωνικής μηχανικής. Η υπόσχεση αυτονομίας και ευκολίας ενθαρρύνει την εγκατάσταση μιας εφαρμογής προτού ελεγχθεί επαρκώς η προέλευσή της. Ο Patrick Schläpfer, Principal Threat Researcher στο HP Security Lab, επισημαίνει ότι οι δράστες προσαρμόζουν τις μεθόδους διανομής malware στην υιοθέτηση νέων εργαλείων AI. Η προσπάθεια να εμφανιστεί το κακόβουλο λογισμικό ως χρήσιμη, νόμιμη εφαρμογή αποτελεί βασικό στοιχείο αυτής της προσέγγισης.
Ταυτόχρονα, η HP καταγράφει τη συνεχιζόμενη χρήση κωδικών QR για κλοπή διαπιστευτηρίων. Τα θύματα λαμβάνουν PDF με θολωμένο περιεχόμενο και οδηγίες να σαρώσουν έναν κωδικό με το κινητό τους για να το διαβάσουν. Η διαδικασία καταλήγει σε παραπλανητικές σελίδες σύνδεσης. Στην εκστρατεία που περιγράφει η έκθεση, οι δράστες επιδίωκαν να αποσπάσουν κωδικούς Microsoft. Η εμφάνιση ενός υποτιθέμενου ελέγχου ασφαλείας κατά την ανακατεύθυνση ενίσχυε την εντύπωση ότι η διαδικασία ήταν αξιόπιστη.
Η μεταφορά της επίθεσης από τον υπολογιστή στο τηλέφωνο έχει συγκεκριμένη σκοπιμότητα. Μια διεύθυνση που αποκλείεται από τα εργαλεία προστασίας του εταιρικού υπολογιστή ενδέχεται να ανοίγει κανονικά σε μια κινητή συσκευή με διαφορετικούς ελέγχους ασφαλείας. Έτσι, η προστασία που εφαρμόζεται σε ένα μέρος της εργασίας μπορεί να χάνει την αποτελεσματικότητά της όταν ο χρήστης αλλάζει συσκευή. Για τις επιχειρήσεις, το εύρημα αναδεικνύει την ανάγκη να εξετάζουν συνολικά τη διαδρομή πρόσβασης σε έγγραφα, εφαρμογές και λογαριασμούς.
Ένα ακόμη εύρημα αφορά την εξέλιξη του Phantom Stealer και την εμφάνιση του Phantom Gate, ενός μηχανισμού φόρτωσης κακόβουλου λογισμικού. Το Phantom Stealer προωθείται στο διαδίκτυο ως εργαλείο δοκιμών διείσδυσης, παρότι χρησιμοποιείται σε εκστρατείες υποκλοπής πληροφοριών. Ο συνδυασμός του με έτοιμα βοηθητικά εργαλεία διευκολύνει τη δημιουργία και την επέκταση επιθέσεων. Οι ερευνητές εκτιμούν ότι τα δύο εργαλεία ενδέχεται να προέρχονται από την ίδια πηγή, με βάση την ονομασία και τον τρόπο διανομής τους. Η εμπορική παρουσίαση του Phantom Stealer περιλαμβάνει ενημερώσεις λειτουργιών και υποστήριξη αγοραστών όλο το εικοσιτετράωρο. Αυτή η οργάνωση δείχνει πόσο συστηματικά διατίθενται πλέον εργαλεία που μπορούν να χρησιμοποιηθούν για υποκλοπές.
Τα συγκεντρωτικά στοιχεία αποτυπώνουν και τα όρια των ελέγχων πριν από την παράδοση ενός μηνύματος. Τουλάχιστον το 10% των απειλών μέσω email που εντόπισε το HP Sure Click είχε παρακάμψει έναν ή περισσότερους σαρωτές πυλών ηλεκτρονικού ταχυδρομείου. Τα εκτελέσιμα αρχεία χρησιμοποιήθηκαν στο 40% των καταγεγραμμένων περιπτώσεων διανομής malware, τα αρχεία αρχειοθέτησης στο 38% και τα PDF στο 7,5%. Τα ποσοστά αφορούν τις παρατηρήσεις της HP στο συγκεκριμένο δείγμα συσκευών. Ως προς τα κανάλια εισόδου, το email συνδεόταν με το 56% των απειλών, οι λήψεις από προγράμματα περιήγησης με το 24% και οι υπόλοιποι τρόποι διανομής με το 20%.
Η προσέγγιση του HP Wolf Security βασίζεται στην απομόνωση επικίνδυνου περιεχομένου, ώστε η εκτέλεσή του να περιορίζεται σε προστατευμένα περιβάλλοντα. Αυτό επιτρέπει στην εταιρεία να μελετά απειλές που έχουν ήδη περάσει από άλλα εργαλεία εντοπισμού. Η HP αναφέρει ότι οι πελάτες της έχουν ανοίξει συνολικά 60 δισεκατομμύρια συνημμένα, ιστοσελίδες και ληφθέντα αρχεία μέσω της προστασίας του προϊόντος, χωρίς αναφερθείσες παραβιάσεις.
Ο James Wright, Global Head of Security for Personal Systems της HP, συνδέει τα ευρήματα με τη συνεχή μετακίνηση των χρηστών μεταξύ συσκευών, προγραμμάτων περιήγησης και εφαρμογών AI. Υποστηρίζει μια προσέγγιση zero trust που στηρίζεται στην απομόνωση και στον περιορισμό των απειλών, διατηρώντας λειτουργική την καθημερινή εργασία. Για τους οργανισμούς, η πρακτική προτεραιότητα είναι να ελέγχουν την προέλευση νέων εφαρμογών, να προστατεύουν τις κινητές συσκευές και να περιορίζουν τις συνέπειες ενός λανθασμένου κλικ.
