Solana-Memo-Feld von Hackern missbraucht, um Stealth-Malware auszuführen
- Hackers nutzen das Memo-Feld von Solana, um stille Malware auszuführen, die Krypto-Wallet-Daten stiehlt.
- Der Angriff besteht aus drei Phasen, die mit der Installation einer bösartigen Paketdatei beginnen.
- Die Malware zielt auf Browser-Erweiterungs-Wallets und Hardware-Wallets ab und kann Browserdaten stehlen.
Hackern entfernen sich von normalen Servern und nutzen dezentrale Systeme, um Entwickler anzugreifen und ihre Krypto-Gelder zu stehlen. Sie ersetzen traditionelle Command-and-Control-(C2)-Server vollständig durch dezentrale Optionen.
Bei diesem Angriff missbraucht die Malware die Solana-Blockchain. Sie nutzt das Memo-Feld von Solana-Transaktionen, um Stealth-Malware auszuführen, die Krypto-Wallet-Daten und sogar Hardware-Wallet-Wiederherstellungsphrasen stiehlt.
Das Memo-Feld wurde ursprünglich für einfache Transaktionsnotizen entwickelt, aber Angreifer nutzen es nun als verborgene Kommunikationsschicht. Dies verwandelt eine öffentliche Blockchain-Funktion in einen verdeckten Kanal zur Malware-Steuerung.
Dezentrale Memos wie die von Solana sind öffentlich und dauerhaft und können von keiner einzelnen Partei entfernt werden. Darüber hinaus können Angreifer Anweisungen aktualisieren, ohne die Malware zu ändern.
Die Kampagne gilt als eine neue Version der GlassWorm-Malware, die seit mindestens 2022 aktiv ist.
Solana-Memos fungieren als Dead-Drop-Resolver
Laut Sicherheitsforschern von Aikido besteht der Angriff aus drei Stufen oder drei Payloads. Die erste Stufe/Payload ist nur ein Einstiegspunkt. Sie beginnt, wenn ein Entwickler ein bösartiges Paket aus Open-Source-Repositories wie npm, PyPI, GitHub oder den Open VSX-Marktplätzen installiert.
Die Malware überprüft dann, ob die Systemlokalität Russisch ist, und fährt in diesem Fall nicht mit dem Angriff fort. Dies liegt daran, dass die Angreifer wahrscheinlich in Russland ansässig sind und nicht von den Behörden erwischt werden wollen. Nach der Installation nutzt die Malware die Solana-Blockchain, um die IP-Adresse des Command-and-Control-(C2)-Servers des Angreifers abzurufen. Sie sucht nach einer bestimmten Transaktion auf Solana, die die IP-Adresse des C2-Servers im Memo-Feld enthält.
Dann verbindet sich die Malware mit dem C2-Server und startet die zweite Angriffsphase. In dieser Phase sucht die Malware nach Krypto-Daten wie Seed-Phrasen, privaten Schlüsseln und sogar Screenshots von Wallets. Sie zielt auf Browser-Erweiterungs-Wallets wie MetaMask, Phantom, Coinbase, Exodus, Binance, Ronin, Keplr und mehr ab.
Die Malware sucht auch nach Browserdaten wie Anmeldesitzungen, Sitzungstokens und Cloud-Zugriffen. Das bedeutet, dass sie auf zentralisierte Börsenkonten, npm, GitHub- und AWS-Konten zugreifen kann.
Nach dem Sammeln der Daten komprimiert die Malware diese in eine ZIP-Datei und sendet sie an den Server des Angreifers.
Hardware-Wallets, die durch Phishing-Zielgruppe sind
Die letzte Payload teilt sich in zwei Teile. Der erste Teil ist eine .NET-Binärdatei, die nach Hardware-Wallets wie Ledger und Trezor sucht. Wenn sie eine findet, zeigt sie eine gefälschte Fehlermeldung an, die den Benutzer dazu bringt, seine Wiederherstellungsphrase einzugeben.
Der zweite Teil ist ein WebSocket-basierter JavaScript-RAT (Remote-Access-Trojaner), der Browserdaten stiehlt. Er installiert außerdem eine gefälschte Chrome-Erweiterung, die bestimmte Websites wie Börsen überwacht und Cookies in Echtzeit stiehlt. Er wird über ein Google-Kalender-Ereignis als Dead-Drop-Resolver heruntergeladen. Dieser Ansatz ermöglicht es dem Angreifer, den echten Server zu verbergen, Sicherheitsfilter zu umgehen und fungiert als indirekte Übertragungsschicht.
Im Gegensatz zur zweiten Stufe, bei der die Malware nur Browserdaten stiehlt, hat dieser RAT Live-Steuerung. Er bleibt aktiv und überwacht den Browser. Er erfasst neue Cookies, verfolgt aktive Sitzungen wie angemeldete Börsenkonten, protokolliert Tastatureingaben und macht Screenshots. Darüber hinaus ermöglicht er dem Angreifer, Befehle auf dem Rechner des Opfers auszuführen.
Es ist schwierig, GlassWorm zu entfernen. Die Malware kann sich selbst neu herunterladen und Überlebe Neustarts. Sie verwendet auch Fallback-Methoden wie DHT-Lookups (Distributed Hash Table) und Solana-Memos, um den Kontrollserver zu finden.
Da es keinen zentralen Server gibt und die Daten auf vielen Computern geteilt werden, wird es für Verteidiger schwierig, den Angriff auf Netzwerkebene zu blockieren.
Wenn Sie dies lesen, sind Sie bereits einen Schritt voraus. Bleiben Sie mit unserem Newsletter auf dem Laufenden.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com Wir übernehmen keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor jeglichen Anlageentscheidungen eine unabhängige Recherche durchzuführen und/oder einen qualifizierten Fachmann zu konsultieren.
Randa Moses
Randa Moses ist Redakteurin und Reporterin bei Cryptopolitan, wo sie über Technologie, KI, Robotik, Krypto, Betrug und Hacks berichtet. Sie arbeitet seit 2017 im Krypto-Bereich. Zuvor war sie bei Forward Protocol, AmaZix und Cryptosomniac tätig. Randa besitzt einen Abschluss in Elektrotechnik und Elektronik der University of Bradford.
