Bedrohungsakteure injizieren bösartigen Code in legitime Crypto-Projekte

Böswillige Akteure injizieren nun schädlichen Code in legitime Projekte, um digitale Vermögenswerte von ahnungslosen Nutzern zu stehlen. Berichten zufolge haben Cybersecurity-Forscher eine ausgeklügelte Malware-Kampagne aufgedeckt, die Krypto-Nutzer über kompromittierte npm-Pakete angreift.

Laut dem Bericht zielt der Angriff speziell auf Nutzer der Atomic- und Exodus-Wallets ab, wobei der Angreifer Transaktionen durch Injizieren schädlichen Codes übernimmt und Gelder an seine eigene Wallet umleitet. Die neueste Kampagne fügt sich in die fortlaufende Reihe von Angriffen gegen Krypto-Nutzer über Software-Lieferkettenangriffe ein.

Der Ursprung des Angriffs liegt meist bei Entwicklern, die versehentlich kompromittierte npm-Pakete in ihre Projekte integrieren. Ein solches Paket, das im Rahmen dieser Kampagne identifiziert wurde, ist „pdf-to-office

Cybersicherheitsforscher markieren bösartigen Code, der Krypto-Wallets angreift

Die Auswirkungen dieses Angriffs sind für die Opfer katastrophal, da die bösartigen Codes Krypto-Transaktionen stillschweigend an Wallets weiterleiten können, die dem Angreifer gehören. Diese Angriffe funktionieren über verschiedene digitale Assets hinweg, darunter Ethereum, Solana, XRP und Tron-basiertes USDT. Die Malware führt diesen Angriff effektiv aus, indem sie die Wallet-Adressen im Moment, in dem ein Nutzer Geld senden möchte, von der legitimen Adresse auf eine vom Angreifer kontrollierte Adresse umstellt.

Die bösartige Kampagne wurde von ReversingLabs-Forschern im Rahmen ihrer Analyse verdächtiger npm-Pakete entdeckt. Die Forscher wiesen darauf hin, dass es zahlreiche Anzeichen für bösartiges Verhalten gibt, darunter verdächtige URL-Verbindungen und Code-Muster, die denen zuvor entdeckter bösartiger Pakete ähneln. Sie berichteten, dass in dieser Woche mehrere Kampagnen versucht haben, diesen bösartigen Code einzusetzen. Sie gehen davon aus, dass Angreifer diese Technik nutzen, um Persistenz zu gewährleisten und der Entdeckung zu entgehen.

„Kürzlich veröffentlichte eine am 1. April gestartete Kampagne das Paket „pdf-to-office

Infektionsmechanismus und Code-Injektion

Laut technischer Untersuchung ist der Angriff mehrstufig und beginnt, wenn ein Nutzer das Paket installiert. Der Rest geschieht, wenn sie durch die Wallet-Identifizierung, die Dateientpackung, die bösartige Code-Injektion und schließlich die Transaktions-Übernahme gehen. Die Angreifer verwenden auch Verschleierungstechniken, um ihre Absichten zu verbergen, was es herkömmlichen Tools erschwert, sie zu erkennen, sodass es zu spät ist, wenn der Nutzer es bemerkt.

Nach der Installation beginnt die Infektion, sobald das bösartige Paket sein Payload ausführt und auf installierte Wallet-Software abzielt. Der Code identifiziert den Speicherort der Anwendungsdateien der Wallet, bevor er das ASAR-Paketformat angreift, das von Electron-basierten Anwendungen verwendet wird. Der Code sucht gezielt nach Dateien in Pfaden wie „AppData/Local/Programs/atomic/resources/app.asar“. Sobald er diese findet, extrahiert die Malware das Anwendungsarchiv, injiziert ihren bösartigen Code und baut das Archiv anschließend wieder zusammen.

Die Injektionen zielen speziell auf JavaScript-Dateien innerhalb der Wallet-Software ab, insbesondere auf Vendor-Dateien wie „vendors.64b69c3b00e2a7914733.js“. Die Malware modifiziert dann den Transaktionsverarbeitungscode, um echte Wallet-Adressen durch solche des Angreifers zu ersetzen, wobei Base64-Codierung verwendet wird. Wenn ein Benutzer beispielsweise Ethereum senden möchte, ersetzt der Code die Empfängeradresse durch eine dekodierte Version der Adresse.

Nach Abschluss der Infektion kommuniziert die Malware über einen Command-and-Control-Server und sendet Installationsstatusinformationen, einschließlich des Pfads zum Home-Verzeichnis des Benutzers. Dies ermöglicht es dem Angreifer, erfolgreiche Infektionen zu verfolgen und potenziell Informationen über die kompromittierten Systeme zu sammeln. Laut ReversingLabs weist der bösartige Pfad zudem auf Persistenz hin: Die Web3-Wallet bleibt auf infizierten Systemen erhalten, selbst wenn das Paket entfernt wurde.