Les chercheurs découvrent un nouveau malware ciblant les portefeuilles crypto

L'entreprise de sécurité Mosyle a découvert une souche de malware capable de contourner la détection des logiciels antivirus et de voler des informations provenant des portefeuilles de navigateur crypto. Le malware se propage via de fausses annonces de recruteurs en ligne.

Les principaux logiciels antivirus n'ont pas détecté le malware ModStealer pendant près d'un mois avant de le signaler. Il ciblait les développeurs travaillant déjà avec des environnements Node.js. ModStealer scanne les extensions de portefeuilles crypto basées sur le navigateur, les identifiants système et les certificats numériques avant d'envoyer les informations volées à un serveur de commande et de contrôle (C2). Le serveur C2 agit comme un hub central pour les escrocs afin de gérer les appareils compromis. 

ModStealer exploite Node.js pour voler les clés privées

Selon les recherches de 9to5Mac, le malware ModStealer s'est déguisé sur les systèmes macOS en tant que programme d'aide en arrière-plan pour assurer sa persistance, garantissant qu'il s'exécutait automatiquement à chaque redémarrage de l'ordinateur. Les systèmes infectés présentaient un fichier intitulé sysupdater.dat et des connexions inhabituelles à des serveurs suspects. 

Shan Zhang, directeur de la sécurité de l'information chez SlowMist, une entreprise de sécurité blockchain, a révélé que ModStealer évite la détection par les logiciels antivirus grand public et présente un risque significatif pour l'écosystème des actifs numériques. Il a ajouté que le malware prend en charge plusieurs plateformes et s'exécute de manière furtive, ce qui le différencie des malwares traditionnels. 

Charles Guillemet, CTO de Ledger a révélé une attaque similaire qui a permis aux attaquants de compromettre un compte développeur du gestionnaire de packages Node (npm) dans le but de propager du code malveillant, qui pourrait remplacer silencieusement les adresses de portefeuille lors des transactions. Il a mis en garde en affirmant que de tels incidents montrent à quel point les bibliothèques de code liées à la blockchain peuvent être vulnérables.

« Les erreurs des attaquants ont provoqué des plantages dans les pipelines CI/CD, ce qui a conduit à une détection précoce et à un impact limité. Néanmoins, c'est un rappel clair : si vos fonds sont stockés dans un portefeuille logiciel ou sur un échange, vous n'êtes qu'à une exécution de code de la perte de tout. Les compromissions de la chaîne d'approvisionnement restent un vecteur de livraison de malware puissant, et nous voyons également émerger davantage d'attaques ciblées. »

–Charles Guillemet, CTO de Ledger

Zhang a mis en garde en affirmant que le malware ModStealer présente une menace directe pour les utilisateurs de crypto et les plateformes, ajoutant que pour les utilisateurs individuels, la compromission des clés privées, des phrases de récupération et des clés API des échanges peut entraîner des pertes immédiates. Il a également noté que le vol massif de données de portefeuilles d'extension de navigateur pourrait alimenter des exploits on-chain à grande échelle et affaiblir la confiance des utilisateurs tout en augmentant les risques dans les chaînes d'approvisionnement crypto. 

De nouvelles cyberexploitations ciblent les données des portefeuilles crypto

Guillemet a découvert que l'écosystème JavaScript a été compromis par une attaque massive de la chaîne d'approvisionnement ciblant des bibliothèques telles que chalk, strip-ansi, color-convert et error-ex. Les packages affectés ont été téléchargés plus d'un milliard de fois par semaine, ce qui présente une menace sévère pour l'écosystème blockchain. 

Le logiciel malveillant fonctionnait comme un « crypto-clipper », ce qui signifie qu'il pouvait remplacer les adresses de portefeuille dans les requêtes réseau ou modifier les transactions initiées via MetaMask et d'autres portefeuilles. L'attaque a été découverte via un échec mineur de build dans un pipeline CI/CD. Les chercheurs ont ensuite découvert que le malware utilisait deux stratégies. La première stratégie était le remplacement passif d'adresses, qui surveillait les requêtes de trafic sortant et remplaçait les adresses de portefeuille par celles contrôlées par le pirate. Il utilisait l'algorithme de distance de Levenshtein, qui sélectionne des adresses similaires visuellement, rendant les changements difficiles à détecter.

Une autre méthode utilisée par les attaquants était le piratage actif des transactions, qui modifie les transactions en attente en mémoire avant de les transmettre pour approbation utilisateur une fois qu'un portefeuille crypto est détecté. Cette astuce a trompé les utilisateurs, les incitant à signer des transferts directement vers le portefeuille de l'attaquant.

Des incidents similaires ont été a rapporté sur Cryptopolitan récemment, où les recherches de ReversingLabs ont révélé un autre malware dissimulé dans des contrats intelligents Ethereum. L'attaque a été téléchargée via des packages npm, y compris colortoolv2 et mimelib2, qui ont agi comme des agents de deuxième étape, récupérant le logiciel malveillant stocké sur la blockchain Ethereum. 

ReversingLabs a révélé que le logiciel malveillant contournait les analyses de sécurité en masquant les URL malveillantes dans les contrats intelligents Ethereum. Il a ensuite été téléchargé via de faux dépôts GitHub, qui se faisaient passer pour des bots de trading de cryptomonnaies. L'opération était liée au Stargazer’s Ghost Network, un système d'attaques coordonnées qui renforcent la légitimité des dépôts malveillants.