I ricercatori scoprono nuovo malware che prende di mira i portafogli crypto

L'azienda di sicurezza Mosyle ha scoperto una variante di malware capace di aggirare la rilevazione da parte del software antivirus e rubare informazioni dai portafogli crypto nei browser. Il malware si diffonde tramite annunci di reclutamento falsi online.

I principali software antivirus non hanno rilevato il malware ModStealer per quasi un mese prima di segnalarlo. Esso prendeva di mira sviluppatori già operanti in ambienti Node.js. ModStealer scansiona le estensioni dei portafogli crypto basate sul browser, le credenziali di sistema e i certificati digitali prima di inviare le informazioni rubate a un server command and control (C2). Il server C2 funge da hub centrale per gli scammer nella gestione dei dispositivi compromessi. 

ModStealer sfrutta Node.js per rubare le chiavi private

Secondo la ricerca di 9a5Mac, il malware ModStealer si è mascherato sui sistemi macOS come un programma helper in background per garantire la persistenza, assicurandosi di essere eseguito automaticamente ad ogni riavvio del computer. I sistemi infetti presentavano un file denominato sysupdater.dat e connessioni insolite verso server sospetti. 

Shan Zhang, chief information security officer di SlowMist, un'azienda di sicurezza blockchain, ha rivelato che ModStealer elude il rilevamento da parte dei principali software antivirus e rappresenta un rischio significativo per l'ecosistema degli asset digitali. Ha aggiunto che il malware offre supporto multi-piattaforma ed esecuzione stealth, caratteristiche che lo differenziano dal malware tradizionale. 

Charles Guillemet, CTO di Ledger, ha rivelato un altro attacco simile che ha permesso agli aggressori di compromettere l'account di uno sviluppatore del Node Package Manager (npm) con l'intento di diffondere codice malevolo, potenzialmente sostituendo silenziosamente gli indirizzi dei portafogli durante le transazioni. Ha messo in guardia sul fatto che tali incidenti dimostrano quanto possano essere vulnerabili le librerie di codice legate alla blockchain.

“Gli errori degli aggressori hanno causato crash nelle pipeline CI/CD, portando a una rilevazione precoce e limitando l'impatto. Tuttavia, questo è un chiaro promemoria: se i tuoi fondi sono custoditi in un portafoglio software o su un exchange, sei a un solo passo dall'esecuzione di codice dalla perdita totale. I compromessi della catena di approvvigionamento rimangono un vettore potente per la distribuzione di malware, e stiamo osservando anche emergere attacchi sempre più mirati.”

–Charles Guillemet, CTO di Ledger

Zhang ha avvertito che il malware ModStealer rappresenta una minaccia diretta per gli utenti crypto e le piattaforme, aggiungendo che per gli utenti individuali, la compromissione delle chiavi private, delle frasi di recupero e delle chiavi API degli exchange può portare a perdite immediate. Ha inoltre notato che il furto di massa di dati dai portafogli basati su estensioni del browser potrebbe alimentare exploit on-chain su larga scala, indebolire la fiducia degli utenti e aumentare i rischi lungo tutta la catena di approvvigionamento crypto. 

Nuovi exploit informatici prendono di mira i dati dei portafogli crypto

Guillemet scoperto che l'ecosistema JavaScript è stato compromesso da un massiccio attacco alla catena di approvvigionamento che ha colpito librerie come chalk, strip-ansi, color-convert e error-ex. I pacchetti interessati sono stati scaricati più di un miliardo di volte a settimana, rappresentando una grave minaccia per l'ecosistema blockchain. 

Il software malevolo agiva come un crypto-clipper, ovvero poteva sostituire gli indirizzi dei portafogli nelle richieste di rete o modificare le transazioni avviate tramite MetaMask e altri portafogli. L'attacco è stato scoperto grazie a un lieve fallimento nella build della pipeline CI/CD. I ricercatori hanno successivamente rilevato che il malware utilizzava due strategie. La prima strategia era lo scambio passivo degli indirizzi, che monitorava le richieste di traffico in uscita e sostituiva gli indirizzi dei portafogli con quelli controllati dall'hacker. Utilizzava l'algoritmo della distanza di Levenshtein, che seleziona indirizzi simili, rendendo difficile rilevare visivamente le modifiche.

Un altro metodo utilizzato dagli attaccanti è stato il sequestro attivo delle transazioni, che modifica le transazioni in sospeso in memoria prima di inoltrarle per l'approvazione dell'utente non appena viene rilevato un portafoglio crypto. Questo inganno ha indotto gli utenti a firmare trasferimenti direttamente verso il portafoglio dell'attaccante.

Incidenti simili si sono verificati ha riportato Su Cryptopolitan, la ricerca di ReversingLabs ha rivelato un altro malware nascosto negli smart contract di Ethereum. L'attacco è stato scaricato tramite pacchetti npm, tra cui colortoolv2 e mimelib2, che hanno agito come agenti di seconda fase, recuperando il software malevolo archiviato sulla blockchain di Ethereum. 

ReversingLabs ha rivelato che il software malevolo ha eluso gli scansioni di sicurezza nascondendo gli URL dannosi all'interno degli smart contract di Ethereum. È stato successivamente scaricato attraverso falsi repository GitHub, presentati come bot per il trading di criptovalute. L'operazione è stata collegata alla Stargazer's Ghost Network, un sistema di attacchi coordinati che aumenta la legittimità dei repository malevoli.