Investigadores descubren nuevo malware que apunta a billeteras de criptomonedas

La firma de seguridad Mosyle ha descubierto una cepa de malware capaz de evadir la detección de software antivirus y robar información de billeteras de navegador de criptomonedas. El malware se propaga a través de anuncios falsos de reclutadores en línea.

El principal software antivirus no detectó el malware ModStealer durante casi un mes antes de reportarlo. Apuntó a desarrolladores que ya trabajaban con entornos Node.js. ModStealer escanea extensiones de billeteras de criptomonedas basadas en navegador, credenciales del sistema y certificados digitales antes de enviar la información robada a un servidor de comando y control (C2). El servidor C2 actúa como un centro central para que los estafadores gestionen dispositivos comprometidos. 

ModStealer explota Node.js para robar claves privadas

Según la investigación de 9a5Mac, el malware ModStealer se disfrazó en sistemas macOS como un programa auxiliar en segundo plano para lograr persistencia, asegurando que se ejecutara automáticamente cada vez que la computadora se reiniciaba. Los sistemas infectados tenían un archivo etiquetado como sysupdater.dat y conexiones inusuales a servidores sospechosos. 

Shan Zhang, director de seguridad de la información en SlowMist, una empresa de seguridad blockchain, reveló que el malware ModStealer evade la detección por software antivirus mainstream y representa un riesgo significativo para el ecosistema de activos digitales. Añadió que el malware tiene soporte multiplataforma y ejecución sigilosa, lo que lo diferencia del malware tradicional. 

Charles Guillemet, CTO de Ledger reveló otro ataque similar que permitió a los atacantes comprometer una cuenta de desarrollador de Node Package Manager (npm) en un intento de propagar código malicioso, que podría reemplazar silenciosamente las direcciones de billetera durante las transacciones. Advirtió que tales incidentes muestran cuán vulnerables pueden ser las bibliotecas de código relacionadas con blockchain.

«Los errores de los atacantes causaron caídas en los pipelines de CI/CD, lo que llevó a una detección temprana y un impacto limitado. Aún así, esto es un recordatorio claro: si tus fondos están en una billetera de software o en un exchange, estás a una ejecución de código de perderlo todo. Los compromisos de la cadena de suministro siguen siendo un vector poderoso de entrega de malware, y también estamos viendo emergir más ataques dirigidos»

–Charles Guillemet, CTO de Ledger

Zhang advirtió que el malware ModStealer presenta una amenaza directa para los usuarios de criptomonedas y plataformas, añadiendo que para los usuarios individuales, el compromiso de claves privadas, frases semilla y claves API de exchange puede llevar a pérdidas inmediatas. También señaló que el robo masivo de datos de billeteras de extensiones de navegador podría alimentar exploits on-chain a gran escala y debilitar la confianza de los usuarios mientras aumenta los riesgos en las cadenas de suministro de criptomonedas. 

Nuevos exploits cibernéticos apuntan a datos de billeteras de criptomonedas

Guillemet descubrió que el ecosistema de JavaScript fue comprometido por un ataque masivo de cadena de suministro que apuntaba a bibliotecas como chalk, strip-ansi, color-convert y error-ex. Los paquetes afectados han sido descargados más de mil millones de veces por semana, lo que presenta una amenaza severa para el ecosistema blockchain. 

El software malicioso funcionaba como un cripto-clipper, lo que significa que podía reemplazar direcciones de billetera en solicitudes de red o modificar transacciones iniciadas a través de MetaMask y otras billeteras. El ataque fue descubierto a través de un fallo menor en la compilación del pipeline de CI/CD. Los investigadores posteriormente descubrieron que el malware utilizaba dos estrategias. La primera estrategia era el intercambio pasivo de direcciones, que monitoreaba las solicitudes de tráfico saliente y reemplazaba las direcciones de billetera con las controladas por el secuestrador. Utilizaba el algoritmo de distancia de Levenshtein, que selecciona direcciones similares, haciendo que sea visualmente difícil detectar cambios.

Otro método que utilizaron los atacantes fue el secuestro activo de transacciones, que modifica las transacciones pendientes en la memoria antes de enviarlas para su aprobación por parte del usuario una vez que se detecta una billetera de criptomonedas. Este truco engañó a los usuarios para que firmaran transferencias directamente a la billetera del atacante.

Incidentes similares han sido informó en Cryptopolitan recientemente, donde la investigación de ReversingLabs reveló otro malware oculto en contratos inteligentes de Ethereum. El ataque se descargó a través de paquetes npm, incluidos colortoolv2 y mimelib2, que actuaron como agentes de segunda etapa, obteniendo el software malicioso almacenado en la cadena de bloques de Ethereum. 

ReversingLabs reveló que el software malicioso evitó los escaneos de seguridad ocultando las URL maliciosas dentro de los contratos inteligentes de Ethereum. Más tarde se descargó a través de repositorios falsos de GitHub, que se hacían pasar por bots de comercio de criptomonedas. La operación fue vinculada a la Red Stargazer’s Ghost, un sistema de ataques coordinados que aumentan la legitimidad de los repositorios maliciosos.