Gli attori delle minacce stanno iniettando codici malevoli nei progetti crypto legittimi

Gli attori malevoli stanno ora iniettando codici malevoli nei progetti legittimi per rubare asset digitali dagli utenti ignari. Secondo i rapporti, i ricercatori di cybersecurity hanno scoperto una campagna malware sofisticata che sta prendendo di mira gli utenti crypto attraverso pacchetti npm compromessi.

Secondo il rapporto, l'attacco prende specificamente di mira gli utenti dei wallet Atomic ed Exodus, con l'attaccante che dirotta le transazioni iniettando codici malevoli che reindirizzano i fondi al wallet dell'attaccante. L'ultima campagna si allinea con la catena ininterrotta di attacchi contro gli utenti crypto attraverso attacchi alla catena di approvvigionamento del software.

L'origine dell'attacco proviene solitamente dagli sviluppatori, con la maggior parte di loro che installa inconsapevolmente i pacchetti npm compromessi nei loro progetti. Uno di questi pacchetti identificati in questa campagna è «pdf-to-office», che appare normalmente e sembra legittimo ma contiene codici malevoli nascosti. Dopo l'installazione, il pacchetto scansiona il dispositivo dell'utente alla ricerca di wallet crypto installati e inietta il codice malevolo in grado di intercettare e reindirizzare le transazioni senza la conoscenza dell'utente.

I ricercatori di cybersecurity segnalano codici malevoli che prendono di mira i wallet crypto

L'impatto di questo attacco è molto grave per le vittime, con i codici malevoli in grado di reindirizzare silenziosamente le transazioni crypto ai wallet controllati dall'attaccante. Questi attacchi funzionano su diverse criptovalute, tra cui Ethereum, Solana, XRP e USDT basato su Tron. Il malware esegue efficacemente questo attacco, sostituendo gli indirizzi del wallet da quello legittimo a quello controllato dall'attaccante nel momento in cui un utente vuole inviare fondi.

La campagna malevola è stata scoperta dai ricercatori di ReversingLabs attraverso l'analisi di pacchetti npm sospetti. I ricercatori hanno menzionato che ci sono molti segnali distintivi di comportamenti malevoli, incluse le connessioni URL sospette e i pattern di codice simili a pacchetti malevoli scoperti in precedenza. Hanno menzionato che ci sono state una serie di campagne che hanno tentato di utilizzare il codice malevolo questa settimana. Credono che gli attaccanti stiano utilizzando questa tecnica per mantenere la persistenza ed eludere il rilevamento.

«Più recentemente, una campagna lanciata il 1 aprile ha pubblicato un pacchetto, pdf-to-office, sul gestore di pacchetti npm che si presentava come una libreria per convertire file in formato PDF in documenti Microsoft Office. Quando eseguito, il pacchetto ha iniettato codice malevolo nel software del wallet crypto legittimo e installato localmente Atomic Wallet ed Exodus, sovrascrivendo i file esistenti non malevoli nel processo», ha detto ReversingLabs.

Meccanismo di infezione e iniezione di codice

Secondo l'esame tecnico, l'attacco è multistadio e inizia quando un utente installa il pacchetto. Il resto avviene quando procede attraverso l'identificazione del wallet, l'estrazione dei file, l'iniezione del codice malevolo e, infine, il dirottamento delle transazioni. Gli attaccanti utilizzano anche tecniche di offuscamento per nascondere le loro intenzioni, rendendo difficile per gli strumenti tradizionali individuarlo, rendendolo troppo tardi quando l'utente se ne rende conto.

Dopo l'installazione, l'infezione inizia quando il pacchetto malevolo esegue il suo payload che prende di mira il software del wallet installato. Il codice identifica la posizione dei file dell'applicazione del wallet prima di prendere di mira il formato del pacchetto ASAR utilizzato dalle applicazioni basate su Electron. Il codice cerca specificamente i file in percorsi come «AppData/Local/Programs/atomic/resources/app.asar». Una volta trovato, il malware estrae l'archivio dell'applicazione, inietta il suo codice malevolo e poi ricompila l'archivio.

Le iniezioni prendono specificamente di mira i file JavaScript che si trovano all'interno del software del wallet, specialmente i file vendor come «vendors.64b69c3b00e2a7914733.js». Il malware modifica quindi il codice di gestione delle transazioni per sostituire i veri indirizzi del wallet con quelli appartenenti all'attaccante utilizzando la codifica base64. Ad esempio, quando un utente cerca di inviare Ethereum, il codice sostituisce l'indirizzo del destinatario con una versione decodificata dell'indirizzo.

Dopo che l'infezione è completata, il malware comunica utilizzando un server di comando e controllo, inviando informazioni sullo stato di installazione, incluso il percorso della home directory dell'utente. Questo permette all'attaccante di tracciare le infezioni riuscite e potenzialmente raccogliere informazioni sui sistemi compromessi. Secondo ReversingLabs, il percorso malevolo ha anche mostrato prove di persistenza, con il wallet Web3 sui sistemi ancora infetto anche quando il pacchetto è stato rimosso.