研究者らが暗号ウォレットを狙う新たなマルウェアを発見

セキュリティ企業Mosyleは、ウイルス対策ソフトウェアの検出を回避し、仮想通貨ブラウザウォレットから情報を盗み出すマルウェアを発見しました。このマルウェアは、偽の求人広告を介してオンライン上に拡散します。.

主要なウイルス対策ソフトウェアは、ModStealerマルウェアを報告してからほぼ1ヶ月が経過していました。このマルウェアは、Node.js環境で既に作業を行っている開発者を標的としていました。ModStealerは、ブラウザベースの暗号資産ウォレット拡張機能、システムdent情報、デジタル証明書をスキャンし、盗んだ情報をコマンドアンドコントロール（C2）サーバーに送信します。C2サーバーは、詐欺師が侵害したデバイスを管理するための中央ハブとして機能します。. 

ModStealerはNode.jsを悪用して秘密鍵を盗む

9to5Macの調査によると 、ModStealerマルウェアはmacOSシステム上で常駐化を実現するために、バックグラウンドヘルパープログラムに偽装し、コンピュータが再起動するたびに自動的に実行されるようにしていましたmatic感染したシステムには、sysupdater.datというファイルが存在し、疑わしいサーバーへの異常な接続が見られました。 

ブロックチェーンセキュリティ企業SlowMistの最高情報セキュリティ責任者（CISO）であるシャン・チャン氏は、ModStealerが主流のウイルス対策ソフトウェアによる検出を回避し、デジタル資産エコシステムに重大なリスクをもたらしていると明らかにした。同氏はさらに、このマルウェアはマルチプラットフォーム対応とステルス実行を特徴としており、これが従来のマルウェアとは異なる点だと付け加えた。. 

LedgerのCTOであるCharles Guillemet氏は、 について明らかにしました 。この攻撃では、攻撃者がNode Package Manager（npm）の開発者アカウントを侵害し、悪意のあるコードを拡散させようとしました。このコードは、取引中にウォレットアドレスを密かに置き換える可能性があります。Guillemet氏は、このような事例はdentチェーン関連のコードライブラリがいかに脆弱であるかを示していると警告しました。

攻撃者のミスによりCI/CDパイプラインにクラッシュが発生し、早期検知と影響の限定化に繋がりました。しかしながら、これは明確な警告です。資金をソフトウェアウォレットや取引所に保管している場合、コード実行一つで全てを失う可能性があります。サプライチェーンへの侵入は依然として強力なマルウェア拡散経路であり、より標的を絞った攻撃も増加しています。

–Charles Guillemet 氏、レジャー CTO

張氏は、ModStealerマルウェアが仮想通貨ユーザーとプラットフォームに直接的な脅威をもたらすと警告し、個人ユーザーの場合、秘密鍵、シードフレーズ、取引所APIキーの侵害は即時の損失につながる可能性があると付け加えた。また、ブラウザ拡張機能ウォレットデータの大量盗難は、大規模なオンチェーン攻撃を助長し、ユーザーの信頼を損ない、仮想通貨サプライチェーン全体のリスクを高める可能性があると指摘した。. 

新たなサイバー攻撃、暗号資産ウォレットのデータを標的に

Guillemet氏は 発見しました 。影響を受けたパッケージは週に10億回以上ダウンロードされており、ブロックチェーンエコシステムにとって深刻な脅威となっています。 

この悪意のあるソフトウェアは暗号クリッパーとして動作し、ネットワークリクエスト内のウォレットアドレスを置き換えたり、MetaMaskなどのウォレットを介して開始されたトランザクションを変更したりすることができました。この攻撃は、CI/CDパイプラインのビルドにおける軽微な失敗によって発見されました。研究者らは後に、このマルウェアが2つの戦略を用いていることを発見しました。1つ目の戦略はパッシブアドレススワッピングで、送信トラフィックリクエストを監視し、ウォレットアドレスをハイジャッカーが管理するアドレスに置き換えます。また、類似アドレスを選択するレーベンシュタイン距離アルゴリズムを使用することで、変更の視覚的な検出を困難にしています。.

攻撃者が利用したもう一つの手法は、アクティブ・トランザクション・ハイジャックです。これは、仮想通貨ウォレットが検出されると、メモリ内の保留中のトランザクションを改変し、ユーザーの承認を得るために転送するものです。これにより、ユーザーは攻撃者のウォレットへの送金に直接署名するように仕向けられます。.

同様の事例dentされており 最近でも Cryptopolitan 、ReversingLabsの調査により、 Ethereum スマートコントラクトtrac。この攻撃は、colortoolv2やmimelib2などのnpmパッケージを介してダウンロードされ、これらが第2段階のエージェントとして機能し、 Ethereum ブロックチェーンに保存されている悪意のあるソフトウェアを取得した。 報告隠された別のマルウェアが明らかになった

ReversingLabsは、この悪意のあるソフトウェアが Ethereum スマートtrac内に悪意のあるURLを隠すことでセキュリティスキャンを回避していたことを明らかにしました。その後、このソフトウェアは仮想通貨取引ボットを装った偽のGitHubリポジトリを通じてダウンロードされました。この攻撃は、悪意のあるリポジトリの正当性を高めるための協調攻撃システムであるStargazerのGhost Networkに関連していました。.