Les acteurs de la menace injectent des codes malveillants dans des projets crypto légitimes

Les acteurs malveillants injectent désormais des codes malveillants dans des projets légitimes pour voler des actifs numériques auprès d’utilisateurs peu méfiants. Selon les rapports, des chercheurs en cybersécurité ont découvert une campagne de logiciels malveillants sophistiquée qui cible les utilisateurs de crypto via des packages npm compromis.

Selon le rapport, l'attaque cible spécifiquement les utilisateurs des portefeuilles Atomique et Exodus, l'attaquant détournant les transactions en injectant des codes malveillants qui redirigent les fonds vers le portefeuille de l'attaquant. La dernière campagne s'inscrit dans la continuité de la chaîne d'attaques contre les utilisateurs de cryptomonnaies via des attaques de la chaîne d'approvisionnement logicielle.

L'origine de l'attaque provient généralement des développeurs, la plupart installant sans le savoir des paquets npm compromis dans leurs projets. L'un de ces paquets identifié dans cette campagne est « pdf-to-office », qui apparaît normalement et semble légitime mais contient des codes malveillants cachés. Une fois installé, le package scanne l'appareil de l'utilisateur pour détecter les portefeuilles de cryptomonnaie installés et injecte le code malveillant capable d'intercepter et de rediriger les transactions sans la connaissance de l'utilisateur.

Les chercheurs en cybersécurité signalent des codes malveillants ciblant les portefeuilles de cryptomonnaie

L'impact de cette attaque est très grave pour les victimes, les codes malveillants étant capables de rediriger silencieusement les transactions de cryptomonnaie vers les portefeuilles contrôlés par l'attaquant. Ces attaques fonctionnent sur plusieurs actifs numériques, y compris Ethereum, Solana, XRP et l'USDT basé sur Tron. Le malware effectue efficacement cette attaque, remplaçant les adresses de portefeuille légitimes par l'adresse contrôlée par l'attaquant au moment où un utilisateur souhaite envoyer des fonds.

La campagne malveillante a été découverte par les chercheurs de ReversingLabs grâce à leur analyse de packages npm suspects. Les chercheurs ont mentionné qu’il y avait tellement de signes distinctifs de comportements malveillants, y compris des connexions URL suspectes et des modèles de code similaires à des packages malveillants précédemment découverts. Ils ont mentionné qu’il y a eu un certain nombre de campagnes qui ont tenté d’utiliser le code malveillant cette semaine. Ils croient que les attaquants utilisent cette technique pour maintenir la persistance et éviter la détection.

« Récemment, une campagne lancée le 1er avril a publié un package, pdf-to-office, sur le gestionnaire de paquets npm, se faisant passer pour une bibliothèque de conversion de fichiers au format PDF en documents Microsoft Office. Lors de l'exécution, le package a injecté du code malveillant dans les logiciels de portefeuille de cryptomonnaie Atomique et Exodus installés localement, écrasant au passage les fichiers existants non malveillants », a déclaré ReversingLabs.

Mécanisme d'infection et injection de code

Selon l'examen technique, l'attaque est multistade et commence lorsque l'utilisateur installe le package. La suite se produit lors de l'identification du portefeuille, de l'extraction des fichiers, de l'injection de code malveillant et enfin du détournement de transaction. Les attaquants utilisent également des techniques d'obfuscation pour cacher leurs intentions, rendant difficile la détection par les outils traditionnels, ce qui est trop tard lorsque l'utilisateur s'en rend compte.

Après l'installation, l'infection commence lorsque le package malveillant exécute sa cible ciblant les logiciels de portefeuille installés. Le code identifie l'emplacement des fichiers d'application du portefeuille avant de cibler le format de package ASAR utilisé par les applications basées sur Electron. Le code recherche spécifiquement des fichiers dans des chemins tels que « AppData/Local/Programs/atomic/resources/app.asar ». Une fois localisé, le malware extrait l'archive de l'application, injecte son code malveillant, puis reconstruit l'archive.

Les injections ciblent spécifiquement les fichiers JavaScript contenus dans le logiciel du portefeuille, en particulier les fichiers fournisseurs comme « vendors.64b69c3b00e2a7914733.js ». Le malware modifie ensuite le code de gestion des transactions pour remplacer les vraies adresses de portefeuille par celles appartenant à l'attaquant en utilisant l'encodage base64. Par exemple, lorsqu'un utilisateur tente d'envoyer de l'Ethereum, le code remplace l'adresse du destinataire par une version décodée de l'adresse.

Après que l’infection est terminée, le logiciel malveillant communique avec un serveur de commande et de contrôle, envoyant des informations sur l’état d’installation, y compris le chemin du répertoire personnel de l’utilisateur. Cela permet à l’attaquant de suivre les infections réussies et potentiellement de recueillir des informations sur les systèmes compromis. Selon ReversingLabs, le chemin malveillant a également montré des preuves de persistance, le portefeuille Web3 sur les systèmes restant infecté même lorsque le package a été supprimé.