فاعلو التهديدات يحقنون أكواداً خبيثة في مشاريع عملات مشروعة

يقوم فاعلو التهديدات الآن بحقن أكواد خبيثة في مشاريع مشروعة لسرقة الأصول الرقمية من المستخدمين غير الحذرين. وفقاً للتقارير، كشف باحثو الأمن السيبراني عن حملة برمجية خبيثة متطورة تستهدف مستخدمي العملات المشفرة من خلال حزم npm المخترقة.

وفقاً للتقرير، يستهدف الهجوم بشكل محدد مستخدمي محافظ Atomic وExodus، حيث يقوم المهاجم باختطاف المعاملات من خلال حقن أكواد خبيثة تعيد توجيه الأموال إلى محفظة المهاجم. تتماشى أحدث حملة مع سلسلة مستمرة من الهجمات ضد مستخدمي العملات المشفرة من خلال هجمات سلسلة توريد البرمجيات.

غالباً ما يأتي أصل الهجوم من المطورين، حيث يقوم معظمهم دون علم بتثبيت حزم npm المخترقة في مشاريعهم. إحدى الحزم التي تم تحديدها في هذه الحملة هي "pdf-to-office"، والتي تبدو طبيعية وتبدو مشروعة لكنها تحتوي على أكواد خبيثة مخفية. بعد تثبيتها، تفحص الحزمة جهاز المستخدم بحثاً عن محافظ العملات المشركرة المثبتة وتقوم بحقن الكود الخبيث القادر على اعتراض المعاملات وإعادة توجيهها دون علم المستخدم.

باحثو الأمن السيبراني يحذرون من أكواد خبيثة تستهدف محافظ العملات المشفرة

تأثير هذا الهجوم وخيم على الضحايا، حيث يمكن للأكواد الخبيثة إعادة توجيه معاملات العملات المشفرة بصمت إلى المحافظ التي يسيطر عليها المهاجم. تعمل هذه الهجمات عبر عدة أصول رقمية، بما في ذلك Ethereum وSolana وXRP وUSDT على شبكة Tron. تنفذ البرمجيات الخبيثة هذا الهجوم بفعالية، حيث تستبدل عناوين المحافظ من العنوان الشرعي إلى العنوان الذي يسيطر عليه المهاجم في اللحظة التي يريد فيها المستخدم إرسال الأموال.

تم اكتشاف الحملة الخبيثة من قبل باحثي ReversingLabs من خلال تحليلهم للحزم البرمجية المشبوهة. ذكر الباحثون أن هناك العديد من العلامات الدالة على السلوك الخبيث، بما في ذلك اتصالات عناوين URL المشبوهة وأنماط الكود المشابهة للحزم الخبيثة المكتشفة سابقاً. ذكروا أن هناك عدداً من الحملات التي حاولت استخدام الكود الخبيث هذا الأسبوع. يعتقدون أن المهاجمين يستخدمون هذه التقنية للحفاظ على الاستمرارية وتجنب الكشف.

"في أحدث حملة، تم نشر حزمة برمجية باسم pdf-to-office على مدير حزم npm في 1 أبريل، والتي ادعت أنها مكتبة لتحويل ملفات تنسيق PDF إلى مستندات Microsoft Office. عند تنفيذها، حقنت الحزمة كوداً خبيثاً في برامج محافظ العملات المشفرة المشروعة المثبتة محلياً مثل Atomic Wallet وExodus، مما أدى إلى الكتابة فوق الملفات الموجودة غير الخبيثة أثناء العملية"، قالت ReversingLabs.

آلية العدوى وحقن الكود

ووفقاً للفحص التقني، فإن الهجوم متعدد المراحل ويبدأ عندما يقوم المستخدم بتثبيت الحزمة. يحدث الباقي عندما يتابع المستخدم خلال تحديد هوية المحفظة، واستخراج الملفات، وحقن الكود الخبيث، وفي النهاية اختطاف المعاملات. يستخدم المهاجمون أيضاً تقنيات التعتيم لإخفاء نواياهم، مما يجعل من الصعب على الأدوات التقليدية اكتشافها، مما يجعل الأمر متأخراً جداً بحلول الوقت الذي يكتشف فيه المستخدم ذلك.

بعد التثبيت، تبدأ العدوى عندما تنفذ الحزمة الخبيثة حمولتها المستهدفة لبرامج المحافظ المثبتة. يحدد الكود موقع ملفات تطبيق المحفظة قبل استهداف تنسيق حزمة ASAR المستخدم في التطبيقات القائمة على Electron. يبحث الكود تحديداً عن الملفات في مسارات مثل "AppData/Local/Programs/atomic/resources/app.asar". بمجرد العثور عليها، تستخرج البرمجيات الخبيثة أرشيف التطبيق، وتحقن كودها الخبيث، ثم تعيد بناء الأرشيف.

تستهدف الحقنات تحديداً ملفات JavaScript الموجودة داخل برنامج المحفظة، خاصة ملفات البائعين مثل "vendors.64b69c3b00e2a7914733.js". ثم يعدل البرمجيات الخبيثة كود التعامل مع المعاملات لاستبدال عناوين المحافظ الحقيقية بتلك التابعة للمهاجم باستخدام ترميز base64. على سبيل المثال، عندما يحاول المستخدم إرسال Ethereum، يستبدل الكود عنوان المستلم بنسخة مفككة من العنوان.

بعد اكتمال الإصابة، تتواصل البرمجية الخبيثة مع خادم القيادة والتحكم، مرسلة معلومات حالة التثبيت بما في ذلك مسار دليل المستخدم الرئيسي. يتيح ذلك للمهاجم تتبع الإصابات الناجحة وجمع معلومات محتملة حول الأنظمة المخترقة. وفقاً لـ ReversingLabs، أظهر المسار الخبيث أيضاً أدلة على الاستمرارية، حيث لا تزال محفظة Web3 مصابة على الأنظمة حتى بعد إزالة الحزمة.