- يستخدم المتسللون حقل الميمو في شبكة سولانا لتشغيل برمجيات خبيثة خفية تسرق بيانات محافظ العملات الرقمية.
- تتكون الهجمة من ثلاث مراحل تبدأ بتثبيت حزمة ضارة.
- يستهدف البرمج الخبيث محافظ توسيعات المتصفح والمحافظ المادية، ويمكنه سرقة بيانات المتصفح.
حقل ميمو في سولانا يُساء استخدامه من قبل القراصنة لتشغيل برمجيات خبيثة خفية
يبتعد القراصنة عن الخوادم العادية ويستخدمون الأنظمة اللامركزية لمهاجمة المطورين وسرقة أموالهم من العملات المشفرة. إنهم يستبدلون خوادم القيادة والتحكم (C2) التقليدية تمامًا بخيارات لامركزية.
في هذا الهجوم، يستغل البرمجيات الخبيثة سلسلة كتل سولانا. يستخدم حقل الميمو (memo) في معاملات سولانا لتشغيل برمجيات خبيثة خفية تسرق بيانات محافظ العملات المشفرة، وحتى عبارات استرداد محافظ الأجهزة.
صُمم حقل الميمو في الأصل لملاحظات المعاملات البسيطة، لكن المهاجمين يستخدمونه الآن كطبقة اتصال مخفية. هذا يحول ميزة البلوكشين العامة إلى قناة سرية للتحكم في البرمجيات الخبيثة.
الميموات اللامركزية مثل تلك الخاصة بسولانا هي عامة ودائمة ولا يمكن إزالتها من قبل أي طرف واحد. بالإضافة إلى ذلك، يمكن للمهاجمين تحديث التعليمات دون تغيير البرمجيات الخبيثة.
تُعتبر الحملة نسخة جديدة من البرمجيات الخبيثة GlassWorm، التي كانت نشطة منذ عام 2022 على الأقل.
تعمل ميموات سولانا كحل لموقع التسليم الميت
وفقًا لباحثي الأمن من Aikido، يتكون الهجوم من ثلاث مراحل أو ثلاث حمولات. المرحلة الأولى/الحمولة الأولى هي مجرد نقطة دخول. تبدأ عندما يقوم المطور بتثبيت حزمة خبيثة من مستودعات مفتوحة المصدر مثل npm وPyPI وGitHub أو متاجر Open VSX.
ثم يتصل البرمجيات الخبيثة بخادم C2 ويبدأ المرحلة الثانية من الهجوم. في هذه المرحلة، يبحث البرمجيات الخبيثة عن بيانات العملات المشفرة مثل عبارات البذور والمفاتيح الخاصة، وحتى لقطات شاشة للمحافظ. يستهدف محافظ امتدادات المتصفح مثل MetaMask، وPhantom، وCoinbase، وExodus، وBinance، وRonin، وKeplr، والمزيد.
ثم يتحقق البرمجيات الخبيثة مما إذا كانت لغة النظام هي الروسية، وإذا كان الأمر كذلك، فلا يستمر في الهجوم. هذا لأن المهاجمين من المرجح أن يكونوا مقيمين في روسيا ولا يريدون الوقوع في يد السلطات. بمجرد التثبيت، يستخدم البرمجيات الخبيثة سلسلة كتل سولانا لجلب عنوان IP لخادم القيادة والتحكم (C2) للمهاجم. يبحث عن معاملة محددة على سولانا تحتوي على عنوان IP لخادم C2 في حقل الميمو.
يبحث البرمجيات الخبيثة أيضًا عن بيانات المتصفح مثل جلسات تسجيل الدخول ورموز الجلسة والوصول السحابي. هذا يعني أنه يمكنه الوصول إلى حسابات البورصات المركزية وحسابات npm وGitHub وAWS.
بعد جمع البيانات، يضغط البرمجيات الخبيثة البيانات في ملف ZIP ويرسلها إلى خادم المهاجم.
المصدر: Aikido Security.
محافظ الأجهزة تستهدف عبر التصيد الاحتيالي
الجزء الثاني هو دودة وصول عنصري (RAT) مبنية على WebSocket وجافا سكريبت تسرق بيانات المتصفح. تقوم أيضًا بتثبيت امتداد Chrome مزيف يراقب مواقع محددة مثل البورصات ويسرق ملفات تعريف الارتباط (cookies) في الوقت الفعلي. يتم تنزيلها من خلال حدث في تقويم Google كحل لموقع التسليم الميت. يسمح هذا النهج للمهاجم بإخفاء الخادم الحقيقي، وتجاوز مرشحات الأمان، والعمل كطبقة توصيل غير مباشرة.
على عكس المرحلة الثانية، حيث يسرق البرمجيات الخبيثة فقط بيانات المتصفح، فإن هذا الـ RAT لديه تحكم مباشر. يبقى نشطًا ويراقب المتصفح. يلتقط ملفات تعريف الارتباط الجديدة، ويتتبع الجلسات النشطة مثل حسابات البورصات المسجلة الدخول، ويسجل ضغطات المفاتيح، ويأخذ لقطات شاشة. علاوة على ذلك، يسمح للمهاجم بتشغيل أوامر على جهاز الضحية.
من الصعب إزالة GlassWorm. يمكن للبرمجيات الخبيثة إعادة تنزيل نفسها ويمكنها البقاء بعد إعادة التشغيل. كما تستخدم طرقًا احتياطية مثل عمليات البحث في جدول التجزئة الموزع (DHT) وميموات سولانا للعثور على خادم التحكم.
لا تكتفِ بقراءة أخبار العملات الرقمية فحسب، بل افهمها. اشترك في نشرتنا الإخبارية. مجانية.
إخلاء مسؤولية. المعلومات المقدمة ليست نصيحة تداول. Cryptopolitan.com لا تتحمل أي مسؤولية عن أي استثمارات تتم بناءً على المعلومات المقدمة في هذه الصفحة. نوصي بشدة بإجراء بحث مستقل و/أو الاستعانة بمستشار مؤهل قبل اتخاذ أي قرارات استثمارية.
راندا موسى
رندا موسى محررة وصحفية في كريبتوبوليتان تغطي التكنولوجيا والذكاء الاصطناعي والروبوتات والعملات الرقمية والاحتيال والاختراقات. عملت في مجال العملات الرقمية منذ عام 2017. شغلت مناصب في Forward Protocol وAmaZix وCryptosomniac. وتحمل رندا درجة البكالوريوس في الهندسة الكهربائية والإلكترونيات من جامعة برادفورد.
