El campo de memo de Solana abusado por hackers para ejecutar malware sigiloso
- Los hackers están utilizando el campo de memo de Solana para ejecutar malware sigiloso que roba datos de carteras cripto.
- El ataque tiene tres etapas que comienzan con la instalación de un paquete malicioso.
- El malware tiene como objetivo las carteras de extensiones de navegador y las carteras de hardware, y puede robar datos del navegador.
Los hackers se están alejando de los servidores normales y utilizando sistemas descentralizados para atacar a los desarrolladores y robar sus fondos de criptomonedas. Están reemplazando completamente los servidores tradicionales de comando y control (C2) con opciones descentralizadas.
En este ataque, el malware abusa de la blockchain de Solana. Utiliza el campo de memo de las transacciones de Solana para ejecutar malware sigiloso que roba datos de billeteras de criptomonedas e incluso frases de recuperación de billeteras de hardware.
El campo de memo fue diseñado originalmente para notas de transacción simples, pero los atacantes ahora lo están utilizando como una capa de comunicación oculta. Esto convierte una característica de la blockchain pública en un canal encubierto para el control del malware.
Los memos descentralizados como los de Solana son públicos y permanentes y no pueden ser eliminados por ninguna sola parte. Además, los atacantes pueden actualizar las instrucciones sin cambiar el malware.
La campaña se considera una nueva versión del malware GlassWorm, que ha estado activo al menos desde 2022.
Los memos de Solana actúan como un resolvedor de depósito muerto
Según los investigadores de seguridad de Aikido, el ataque tiene tres etapas o tres cargas útiles. La primera etapa/carga útil es solo un punto de entrada. Comienza cuando un desarrollador instala un paquete malicioso de repositorios de código abierto como npm, PyPI, GitHub o los mercados Open VSX.
El malware comprueba a continuación si la configuración regional del sistema es rusa y, en caso afirmativo, no continúa con el ataque. Esto se debe a que es probable que los atacantes estén basados en Rusia y no quieran ser capturados por las autoridades. Una vez instalado, el malware utiliza la blockchain de Solana para obtener la dirección IP del servidor de comando y control (C2) del atacante. Busca una transacción específica en Solana que contenga la dirección IP del servidor C2 en el campo de la nota.
El malware luego se conecta al servidor C2 y comienza la segunda etapa del ataque. En esta etapa, el malware busca datos de criptomonedas como frases semilla, claves privadas e incluso capturas de pantalla de billeteras. Se dirige a billeteras de extensiones de navegador como MetaMask, Phantom, Coinbase, Exodus, Binance, Ronin, Keplr, y más.
El malware también busca datos del navegador, como sesiones de inicio de sesión, tokens de sesión y acceso a la nube. Esto significa que puede acceder a cuentas de exchanges centralizados, npm, GitHub y AWS.
Después de recopilar los datos, el malware los comprime en un archivo ZIP y los envía al servidor del atacante.
Carteras de hardware objetivo mediante phishing
La última carga útil se divide en dos partes. La primera parte es un binario .NET que busca billeteras de hardware como Ledger y Trezor. Si encuentra una, muestra un mensaje de error falso que engaña al usuario para que ingrese su frase de recuperación.
La segunda parte es un RAT (troyano de acceso remoto) basado en JavaScript y WebSocket que roba datos del navegador. También instala una extensión falsa de Chrome que monitorea sitios específicos como exchanges y roba cookies en tiempo real. Se descarga a través de un evento de Google Calendar como un resolvedor de caída muerta. Este enfoque permite al atacante ocultar el servidor real, eludir los filtros de seguridad y actuar como una capa de entrega indirecta.
A diferencia de la segunda etapa, donde el malware solo roba datos del navegador, este RAT tiene control en vivo. Permanece activo y monitorea el navegador. Captura nuevas cookies, rastrea sesiones activas como cuentas de exchanges iniciadas, registra pulsaciones de teclas y toma capturas de pantalla. Además, permite al atacante ejecutar comandos en la máquina de la víctima.
Es difícil eliminar GlassWorm. El malware puede volver a descargarse y sobrevivir a los reinicios. También utiliza métodos de respaldo como búsquedas en DHT (Tabla Hash Distribuida) y memos de Solana para encontrar el servidor de control.
Dado que no hay un servidor central y los datos se comparten entre muchas computadoras, resulta difícil para los defensores bloquear el ataque a nivel de red.
Si estás leyendo esto, ya vas por delante. Mantente así con nuestro boletín.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
Randa Moses
Randa Moses es editora y reportera en Cryptopolitan, donde cubre tecnología, IA, robótica, criptomonedas, estafas y ciberataques. Ha trabajado en el espacio de las criptomonedas desde 2017. Ocupó cargos en Forward Protocol, AmaZix y Cryptosomniac. Randa posee un grado en Ingeniería Eléctrica y Electrónica de la Universidad de Bradford.
