Le champ mémo de Solana détourné par les pirates pour exécuter un malware furtif

Les pirates s'éloignent des serveurs classiques et utilisent des systèmes décentralisés pour attaquer les développeurs et voler leurs fonds crypto. Ils remplacent entièrement les serveurs de commande et de contrôle (C2) traditionnels par des options décentralisées.

Dans cette attaque, le malware abuse de la blockchain Solana. Il utilise le champ mémo des transactions Solana pour exécuter un malware furtif qui vole les données des portefeuilles crypto, et même les phrases de récupération des portefeuilles matériels.

Le champ mémo était à l'origine conçu pour des notes de transaction simples, mais les attaquants l'utilisent désormais comme une couche de communication cachée. Cela transforme une fonctionnalité publique de la blockchain en un canal covert pour le contrôle du malware.

Les mémos décentralisés comme ceux de Solana sont publics et permanents, et ne peuvent pas être supprimés par une seule partie. De plus, les attaquants peuvent mettre à jour les instructions sans modifier le malware.

La campagne est considérée comme une nouvelle version du malware GlassWorm, qui est actif depuis au moins 2022.

Les mémos Solana agissent comme un résolveur de dead drop

Selon les chercheurs en sécurité d'Aikido, l'attaque comporte trois étapes ou trois charges utiles. La première étape/charge utile n'est qu'un point d'entrée. Elle commence lorsqu'un développeur installe un package malveillant à partir de dépôts open source comme npm, PyPI, GitHub ou les marchés Open VSX.

Le malware vérifie ensuite si la locale du système est russe et, dans ce cas, il ne poursuit pas l'attaque. Cela est dû au fait que les attaquants sont probablement basés en Russie et ne veulent pas être pris par les autorités. Une fois installé, le malware utilise la blockchain Solana pour récupérer l'adresse IP du serveur de commande et de contrôle (C2) de l'attaquant. Il recherche une transaction spécifique sur Solana qui contient l'adresse IP du serveur C2 dans le champ mémo.

Le malware se connecte ensuite au serveur C2 et lance la deuxième étape de l'attaque. À cette étape, le malware recherche des données crypto telles que les phrases de récupération, les clés privées et même des captures d'écran des portefeuilles. Il cible les portefeuilles d'extensions de navigateur comme MetaMask, Phantom, Coinbase, Exodus, Binance, Ronin, Keplr, et plus encore.

Le malware recherche également des données de navigateur comme les sessions de connexion, les jetons de session et l'accès au cloud. Cela signifie qu'il peut accéder aux comptes d'échanges centralisés, aux comptes npm, GitHub et AWS.

Après avoir collecté les données, le malware les compresse dans un fichier ZIP et les envoie au serveur de l'attaquant.

Portefeuilles matériels ciblés via le phishing

La dernière charge utile se divise en deux parties. La première partie est un binaire .NET qui recherche des portefeuilles matériels comme Ledger et Trezor. S'il en trouve un, il affiche un faux message d'erreur qui incite l'utilisateur à saisir sa phrase de récupération.

La deuxième partie est un RAT (cheval de Troie d'accès à distance) basé sur WebSocket et JavaScript qui vole les données du navigateur. Il installe également une fausse extension Chrome qui surveille des sites spécifiques comme les échanges et vole les cookies en temps réel. Il est téléchargé via un événement Google Calendar en tant que résolveur de dead drop. Cette approche permet à l'attaquant de masquer le véritable serveur, de contourner les filtres de sécurité et agit comme une couche de livraison indirecte.

Contrairement à la deuxième étape, où le malware ne vole que les données du navigateur, ce RAT a un contrôle en direct. Il reste actif et surveille le navigateur. Il capture de nouveaux cookies, suit les sessions actives comme les comptes d'échange connectés, enregistre les frappes au clavier et prend des captures d'écran. De plus, il permet à l'attaquant d'exécuter des commandes sur la machine de la victime.

Il est difficile de supprimer GlassWorm. Le malware peut se re-télécharger et survivre aux redémarrages. Il utilise également des méthodes de secours comme les recherches DHT (Tableau de Hachage Distribué) et les mémos Solana pour trouver le serveur de contrôle.

Puisqu'il n'y a pas de serveur central et que les données sont partagées sur de nombreux ordinateurs, il devient difficile pour les défenseurs de bloquer l'attaque au niveau du réseau.