باحثون يكشفون عن برمجية خبيثة جديدة تستهدف محافظ العملات المشفرة

اكتشفت شركة الأمن Mosyle سلالة برمجية خبيثة قادرة على تجاوز كشف برامج مكافحة الفيروسات وسرقة المعلومات من محافظ المتصفح المشفرة. تنتشر البرمجية الخبيثة عبر إعلانات مسؤولين مزيفة عبر الإنترنت.

لم تكتشف برامج مكافحة الفيروسات الرئيسية برمجية ModStealer الخبيثة لمدة شهر تقريباً قبل الإبلاغ عنها. استهدفت المطورين الذين يعملون بالفعل مع بيئات Node.js. تفحص ModStealer امتدادات محافظ المتصفح المشفرة، وبيانات اعتماد النظام، والشهادات الرقمية قبل إرسال المعلومات المسروقة إلى خادم الأوامر والتحكم (C2). يعمل خادم C2 كمركز مركزي للمحتالين لإدارة الأجهزة المخترقة. 

تستغل ModStealer Node.js لسرقة المفاتيح الخاصة

وفقاً للبحث من قبل 9to5Mac، تمتمس ModStealer الخبيثة نفسها على أنظمة macOS كبرنامج مساعد في الخلفية لتحقيق الاستمرارية، مما يضمن تشغيلها تلقائياً في كل مرة يتم فيها إعادة تشغيل الكمبيوتر. كان لدى الأنظمة المصابة ملفاً مصحوباً بـ sysupdater.dat واتصالات غير عادية بخوادم مشبوهة. 

كشف شان زانغ، كبير مسؤولي الأمن المعلوماتي في SlowMist، وهي شركة أمن بلوكتشين، أن برمجية ModStealer الخبيثة تتجنب الكشف من قبل برامج مكافحة الفيروسات الرئيسية وتشكل خطراً كبيراً على النظام البيئي للأصول الرقمية. وأضاف أن البرمجية الخبيثة تدعم منصات متعددة والتنفيذ الخفي، مما يميزها عن البرمجيات الخبيثة التقليدية. 

تشارلز غويليميت، كبير مسؤولي التكنولوجيا في Ledger، كشفت هجوم مشابه آخر سمح للمهاجمين باختراق حساب مطور مدير حزم Node (npm) في محاولة لنشر كود ضار، قد يحل محل عناوين المحافظ بصمت أثناء المعاملات. حذر من أن مثل هذه الحوادث تظهر مدى هشاشة مكتبات الكود المتعلقة بالبلوكتشين.

"أخطاء المهاجمين تسببت في تعطل خطوط أنابيب CI/CD، مما أدى إلى الكشف المبكر وتقييد التأثير. ومع ذلك، هذا تذكير واضح: إذا كانت أموالك تجلس في محفظة برمجية أو على بورصة، فأنت على بعد تنفيذ كود واحد من فقدان كل شيء. تظل اختراقات سلسلة التوريد وسيلة قوية لتوصيل البرمجيات الخبيثة، ونحن نرى أيضاً ظهور المزيد من الهجمات المستهدفة."

–تشارلز غويلمي، مدير التكنولوجيا في ليدير

حذر تشانغ من أن البرمجية الخبيثة ModStealer تشكل تهديداً مباشراً لمستخدمي العملات المشفرة ومنصات التبادل، مضيفاً أن اختراق المفاتيح الخاصة وعبارات البذور ومفاتيح واجهة برمجة التطبيقات (API) الخاصة بالبورصات قد يؤدي إلى خسائر فورية للأفراد. كما لاحظ أن السرقة الجماعية لبيانات محافظ امتدادات المتصفح يمكن أن تغذي هجمات واسعة النطاق على السلسلة وتضعف ثقة المستخدمين بينما تزيد المخاطر عبر سلاسل التوريد في مجال العملات المشفرة. 

استغلاالات سيبرانية جديدة تستهدف بيانات محافظ العملات المشفرة

غويلمي Aave V⟦N1⟧ أن نظام جافا سكريبت تعرض لهجوم ضخم على سلسلة التوريد استهدف مكتبات مثل chalk وstrip-ansi وcolor-convert وerror-ex. وقد تم تنزيل الحزم المتأثرة أكثر من مليار مرة أسبوعياً، مما يشكل تهديداً خطيراً على نظام البلوكتشين. 

عملت البرمجية الخبيثة كلصّ للعملات المشفرة (crypto-clipper)، مما يعني أنها كانت تستبدل عناوين المحافظ في طلبات الشبكة أو تعدل المعاملات التي يتم بدءها عبر MetaMask ومحافظ أخرى. تم اكتشاف الهجوم من خلال فشل بسيط في بناء خط أنابيب CI/CD. وجد الباحثون لاحقاً أن البرمجية الخبيثة استخدمت استراتيجيتين. كانت الاستراتيجية الأولى هي التبديل السلبي للعناوين، الذي يراقب طلبات حركة المرور الخارجة ويستبدل عناوين المحافظ بتلك التي يتحكم فيها اللص. استخدمت خوارزمية مسافة ليفنشتاين، التي تختار عناوين متشابهة بصرياً، مما يجعل من الصعب اكتشاف التغييرات.

استخدم المهاجمون طريقة أخرى وهي اختطاف المعاملات النشط، الذي يعدل المعاملات المعلقة في الذاكرة قبل إرسالها للموافقة عليها من قبل المستخدم بمجرد اكتشاف محفظة عملات مشفرة. خدع هذا المستخدمين لتوقيع التحويلات مباشرة إلى محفظة المهاجم.

وقد حدثت حوادث مماثلة في يونيو أن DFS اقترحت لوائح جديدة للعملات المستقرة تهدف إلى مواءمتها مع قانون GENIUS ACT مع الحفاظ على ضوابطها الحالية. ويشمل ذلك التغطية الكاملة بالاحتياطيات والتدقيق المستقل. على موقع Cryptopolitan مؤخراً، حيث كشفت أبحاث ReversingLabs عن برمجية خبيثة أخرى مخبأة في العقود الذكية على شبكة Ethereum. تم تنزيل الهجوم عبر حزم npm، بما في ذلك colortoolv2 وmimelib2، التي عملت كوكلاء من المرحلة الثانية، لجلب البرمجية الخبيثة المخزنة على blockchain Ethereum. 

كشفت ReversingLabs أن البرمجية الخبيثة تتجاوز عمليات الفحص الأمني من خلال إخفاء عناوين URL الخبيثة داخل العقود الذكية على Ethereum. تم تنزيلها لاحقاً عبر مستودعات GitHub مزيفة، ادعت أنها روبوتات تداول للعملات المشفرة. ارتبطت العملية بشبكة Stargazer’s Ghost Network، وهي نظام لهجمات منسقة تهدف إلى تعزيز شرعية المستودعات الخبيثة.