Forscher entdecken neue Malware, die auf Krypto-Wallets abzielt

Das Sicherheitsunternehmen Mosyle hat eine Malware-Stamm entdeckt, die in der Lage ist, die Erkennung durch Antivirensoftware zu umgehen und Informationen aus Krypto-Browser-Wallets zu stehlen. Die Malware verbreitet sich über gefälschte Recruiter-Anzeigen im Internet.

Große Antivirensoftware erkannte die ModStealer-Malware fast einen Monat lang nicht, bevor sie sie meldete. Sie zielte auf Entwickler ab, die bereits mit Node.js-Umgebungen arbeiteten. ModStealer scannt nach browserbasierten Krypto-Wallet-Erweiterungen, Systemanmeldeinformationen und digitalen Zertifikaten, bevor es die gestohlenen Informationen an einen Command-and-Control-(C2)-Server sendet. Der C2-Server fungiert als zentrale Drehscheibe für Betrüger, um kompromittierte Geräte zu verwalten. 

ModStealer nutzt Node.js aus, um private Schlüssel zu stehlen

Laut Forschung von 9to5Mac: ModStealer-Malware gab sich auf macOS-Systemen als Hintergrund-Hilfsprogramm aus, um Persistenz zu erreichen und sicherzustellen, dass sie bei jedem Neustart des Computers automatisch ausgeführt wurde. Die infizierten Systeme hatten eine Datei mit der Bezeichnung sysupdater.dat und ungewöhnliche Verbindungen zu verdächtigen Servern. 

Shan Zhang, Chief Information Security Officer bei SlowMist, einem Blockchain-Sicherheitsunternehmen, enthüllte, dass ModStealer die Erkennung durch Mainstream-Antivirensoftware umgeht und ein erhebliches Risiko für das digitale Asset-Ökosystem darstellt. Er fügte hinzu, dass die Malware Multi-Plattform-Unterstützung und stille Ausführung hat, was sie von traditioneller Malware unterscheidet. 

Charles Guillemet, CTO von Ledger, gab eine weitere ähnliche Attacke, die es Angreifern ermöglichte, ein Node Package Manager (npm)-Entwicklerkonto zu kompromittieren, in dem Versuch, bösartigen Code zu verbreiten, der Wallet-Adressen während Transaktionen möglicherweise stillschweigend ersetzt. Er warnte, dass solche Vorfälle zeigen, wie anfällig blockchain-bezogene Code-Bibliotheken sein können.

„Die Fehler der Angreifer führten zu Abstürzen in CI/CD-Pipelines, was zu einer frühen Erkennung und begrenzten Auswirkungen führte. Dennoch ist dies eine klare Erinnerung: Wenn Ihre Gelder in einer Software-Wallet oder auf einer Börse liegen, sind Sie einen Code-Ausführungsschritt davon entfernt, alles zu verlieren. Supply-Chain-Kompromittierungen bleiben ein leistungsstarker Malware-Liefervektor, und wir sehen auch mehr gezielte Angriffe entstehen.“

–Charles Guillemet, CTO von Ledger

Zhang warnte, dass die ModStealer-Malware eine direkte Bedrohung für Krypto-Nutzer und -Plattformen darstellt, und fügte hinzu, dass die Kompromittierung privater Schlüssel, Seed-Phrasen und Exchange-API-Schlüssel bei einzelnen Nutzern zu sofortigen Verlusten führen kann. Er bemerkte auch, dass der Massenstehl von Browser-Erweiterungs-Wallet-Daten groß angelegte On-Chain-Exploits befeuern und das Nutzervertrauen schwächen sowie die Risiken in Krypto-Supply-Chains erhöhen könnte. 

Neue Cyber-Exploits zielen auf Krypto-Wallets-Daten ab

Guillemet zeigte , dass das JavaScript-Ökosystem durch einen massiven Supply-Chain-Angriff kompromittiert wurde, der Bibliotheken wie chalk, strip-ansi, color-convert und error-ex zielte. Die betroffenen Pakete wurden mehr als eine Milliarde Mal pro Woche heruntergeladen, was eine schwere Bedrohung für das Blockchain-Ökosystem darstellt. 

Die bösartige Software fungierte als Crypto-Clipper, was bedeutet, dass sie Wallet-Adressen in Netzwerk-Anfragen ersetzen oder Transaktionen, die über MetaMask und andere Wallets initiiert wurden, modifizieren konnte. Der Angriff wurde durch einen kleinen CI/CD-Pipeline-Build-Fehler entdeckt. Die Forscher stellten später fest, dass die Malware zwei Strategien nutzte. Die erste Strategie war das passive Adressen-Swapping, das ausgehende Traffic-Anfragen überwachte und Wallet-Adressen durch die von den Angreifern kontrollierten ersetzte. Sie nutzte den Levenshtein-Distanz-Algorithmus, der ähnlich aussehende Adressen auswählt, was es visuell schwierig macht, Änderungen zu erkennen.

Eine andere Methode, die die Angreifer nutzten, war das aktive Transaktions-Hijacking, das ausstehende Transaktionen im Speicher modifiziert, bevor sie zur Benutzergenehmigung weitergeleitet werden, sobald eine Krypto-Wallet erkannt wird. Dies täuschte Nutzer dazu, Überweisungen direkt an die Wallet des Angreifers zu signieren.

Ähnliche Vorfälle wurden berichtete auf Cryptopolitan kürzlich gemeldet, wo die Forschung von ReversingLabs eine weitere Malware enthüllte, die in Ethereum-Smart-Contracts verborgen war. Der Angriff wurde über npm-Pakete heruntergeladen, darunter colortoolv2 und mimelib2, die als Second-Stage-Agents fungierten und die bösartige Software, die auf der Ethereum-Blockchain gespeichert war, abrufen. 

ReversingLabs enthüllte, dass die bösartige Software Sicherheits-Scans umging, indem sie die bösartigen URLs in den Ethereum-Smart-Contracts versteckte. Sie wurde später über gefälschte GitHub-Repositories heruntergeladen, die sich als Kryptowährungs-Handelsbots ausgaben. Die Operation wurde mit Stargazers Ghost Network in Verbindung gebracht, einem System koordinierter Angriffe, die die Legitimität bösartiger Repositories steigern.