Los actores de amenazas están inyectando códigos maliciosos en proyectos cripto legítimos

Los actores maliciosos ahora están inyectando códigos maliciosos en proyectos legítimos para robar activos digitales a usuarios desprevenidos. Según los informes, los investigadores de ciberseguridad han descubierto una campaña de malware sofisticada que está dirigida a usuarios de cripto a través de paquetes npm comprometidos.

Según el informe, el ataque apunta específicamente a usuarios de las billeteras Atomic y Exodus, con el atacante secuestrando transacciones inyectando códigos maliciosos que redirigen los fondos a la billetera del atacante. La campaña más reciente se alinea con la cadena continua de ataques contra usuarios de cripto a través de ataques a la cadena de suministro de software.

El origen del ataque suele provenir de los desarrolladores, la mayoría de los cuales instalan sin saberlo los paquetes npm comprometidos en sus proyectos. Uno de esos paquetes identificados en esta campaña es «pdf-to-office», que parece normal y legítimo pero contiene códigos maliciosos ocultos. Después de su instalación, el paquete escanea el dispositivo del usuario en busca de billeteras cripto instaladas e inyecta el código malicioso capaz de interceptar y redirigir transacciones sin el conocimiento del usuario.

Investigadores de ciberseguridad señalan códigos maliciosos dirigidos a billeteras cripto

El impacto de este ataque es muy grave para las víctimas, con los códigos maliciosos capaces de redirigir silenciosamente las transacciones cripto a las billeteras controladas por el atacante. Estos ataques funcionan en varios activos digitales, incluyendo Ethereum, Solana, XRP y USDT basado en Tron. El malware lleva a cabo efectivamente este ataque, cambiando las direcciones de billetera de la legítima a la controlada por el atacante en el momento en que un usuario quiere enviar fondos.

La campaña maliciosa fue descubierta por los investigadores de ReversingLabs a través de su análisis de paquetes npm sospechosos. Los investigadores mencionaron que hay muchas señales de comportamientos maliciosos, incluidas conexiones de URL sospechosas y patrones de código similares a paquetes maliciosos descubiertos anteriormente. Mencionaron que ha habido varias campañas que han intentado usar el código malicioso esta semana. Creen que los atacantes están utilizando esta técnica para mantener la persistencia y evadir la detección.

«Más recientemente, una campaña lanzada el 1 de abril publicó un paquete, pdf-to-office, en el administrador de paquetes npm que se hacía pasar por una biblioteca para convertir archivos de formato PDF a documentos de Microsoft Office. Al ejecutarse, el paquete inyectó código malicioso en el software de billetera cripto instalado localmente y legítimo Atomic Wallet y Exodus, sobrescribiendo los archivos existentes no maliciosos en el proceso», dijo ReversingLabs.

Mecanismo de infección e inyección de código

Según el examen técnico, el ataque es multietapa y comienza cuando un usuario instala el paquete. El resto ocurre cuando proceden a través de la identificación de la billetera, la extracción de archivos, la inyección de código malicioso y, finalmente, el secuestro de transacciones. Los atacantes también utilizan técnicas de ofuscación para ocultar sus intenciones, lo que dificulta que las herramientas tradicionales lo detecten, haciendo que sea demasiado tarde cuando el usuario se da cuenta.

Después de la instalación, la infección comienza cuando el paquete malicioso ejecuta su carga útil dirigida al software de billetera instalado. El código identifica la ubicación de los archivos de la aplicación de la billetera antes de dirigirse al formato de paquete ASAR utilizado por las aplicaciones basadas en Electron. El código busca específicamente archivos en rutas como «AppData/Local/Programs/atomic/resources/app.asar». Una vez que lo encuentra, el malware extrae el archivo de la aplicación, inyecta su código malicioso y luego reconstruye el archivo.

Las inyecciones apuntan específicamente a archivos JavaScript que están dentro del software de la billetera, especialmente archivos de proveedores como «vendors.64b69c3b00e2a7914733.js». El malware luego modifica el código de manejo de transacciones para reemplazar las direcciones de billetera reales con las que pertenecen al atacante utilizando la codificación base64. Por ejemplo, cuando un usuario intenta enviar Ethereum, el código reemplaza la dirección del destinatario con una versión decodificada de la dirección.

Una vez completada la infección, el malware se comunica mediante un servidor de comando y control, enviando información sobre el estado de la instalación, incluida la ruta del directorio home del usuario. Esto permite al atacante rastrear las infecciones exitosas y potencialmente recopilar información sobre los sistemas comprometidos. Según ReversingLabs, la ruta maliciosa también ha mostrado evidencia de persistencia, con la billetera Web3 en los sistemas aún infectada incluso cuando el paquete ha sido eliminado.