- Gli hacker stanno utilizzando il campo memo di Solana per eseguire malware stealth che ruba i dati dei portafogli crypto.
- L'attacco si articola in tre fasi, che iniziano con l'installazione di un pacchetto malevolo.
- Il malware prende di mira i portafogli estensione del browser e i portafogli hardware, e può rubare i dati del browser.
Gli hacker si stanno allontanando dai server tradizionali e utilizzando sistemi decentralizzati per attaccare gli sviluppatori e rubare i loro fondi crittografici. Stanno sostituendo completamente i tradizionali server di comando e controllo (C2) con opzioni decentralizzate.
In questo attacco, il malware abusa della blockchain Solana. Utilizza il campo memo delle transazioni Solana per eseguire malware stealth che ruba i dati dei wallet crittografici e persino le frasi di recupero dei wallet hardware.
Il campo memo era originariamente progettato per semplici note di transazione, ma gli attaccanti lo stanno ora utilizzando come livello di comunicazione nascosto. Questo trasforma una funzione pubblica della blockchain in un canale coperto per il controllo del malware.
I memo decentralizzati come quelli di Solana sono pubblici e permanenti e non possono essere rimossi da una singola parte. Inoltre, gli attaccanti possono aggiornare le istruzioni senza modificare il malware.
La campagna è considerata una nuova versione del malware GlassWorm, attivo almeno dal 2022.
I memo di Solana agiscono come resolver per dead drop
Secondo i ricercatori della sicurezza di Aikido, l'attacco ha tre fasi o tre payload. La prima fase/payload è solo un punto di ingresso. Inizia quando uno sviluppatore installa un pacchetto dannoso da repository open source come npm, PyPI, GitHub o i marketplace Open VSX.
Il malware verifica quindi se la lingua del sistema è il russo e, in tal caso, non prosegue con l'attacco. Questo perché gli attaccanti sono probabilmente basati in Russia e non vogliono essere scoperti dalle autorità. Una volta installato, il malware utilizza la blockchain Solana per recuperare l'indirizzo IP del server di comando e controllo (C2) dell'attaccante. Cerca una transazione specifica su Solana che contiene l'IP del server C2 nel campo memo.
Il malware si connette quindi al server C2 e avvia la seconda fase dell'attacco. In questa fase, il malware cerca dati crittografici come frasi di recupero (seed phrases), chiavi private e persino screenshot dei wallet. Prende di mira i wallet tramite estensioni del browser come MetaMask, Phantom, Coinbase, Exodus, Binance, Ronin, Keplr e altri.
Il malware cerca anche dati del browser come sessioni di accesso, token di sessione e accesso cloud. Ciò significa che può accedere ad account di exchange centralizzati, npm, GitHub e account AWS.
Dopo aver raccolto i dati, il malware li comprime in un file ZIP e li invia al server dell'attaccante.
Wallet hardware presi di mira tramite phishing
L'ultimo payload si divide in due parti. La prima parte è un binario .NET che cerca wallet hardware come Ledger e Trezor. Se ne trova uno, mostra un messaggio di errore falso che induce l'utente a inserire la propria frase di recupero.
La seconda parte è un RAT (Trojan di accesso remoto) basato su JavaScript e WebSocket che ruba i dati del browser. Installa inoltre un'estensione Chrome falsa che monitora siti specifici come gli exchange e ruba i cookie in tempo reale. Viene scaricato tramite un evento di Google Calendar come resolver per dead drop. Questo approccio consente all'attaccante di nascondere il server reale, bypassare i filtri di sicurezza e agire come livello di consegna indiretto.
A differenza della seconda fase, in cui il malware ruba solo i dati del browser, questo RAT ha un controllo in tempo reale. Rimane attivo e monitora il browser. Cattura nuovi cookie, traccia sessioni attive come account di exchange connessi, registra i tasti premuti e scatta screenshot. Inoltre, consente all'attaccante di eseguire comandi sulla macchina della vittima.
È difficile rimuovere GlassWorm. Il malware può riscaricare se stesso e sopravvivere ai riavvii. Utilizza anche metodi di fallback come le ricerche DHT (Distributed Hash Table) e i memo di Solana per trovare il server di controllo.
Poiché non c'è un server centrale e i dati sono condivisi tra molti computer, diventa difficile per i difensori bloccare l'attacco a livello di rete.
Se stai leggendo questo, sei già avanti. Resta così con la nostra newsletter.
Dichiarazione di responsabilità. Le informazioni fornite non costituiscono consigli di trading. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti effettuati sulla base delle informazioni fornite in questa pagina. Si consiglia vivamente di effettuare ricerche indipendenti e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Randa Moses
Randa Moses è un'editor e giornalista presso Cryptopolitan, dove si occupa di tecnologia, intelligenza artificiale, robotica, criptovalute, truffe e hacking. Opera nel settore delle criptovalute dal 2017. Ha ricoperto ruoli in Forward Protocol, AmaZix e Cryptosomniac. Randa è laureata in Ingegneria Elettrica ed Elettronica presso l'Università di Bradford.
