研究者が暗号資産ウォレットを対象とした新しいマルウェアを発見

Mosyleセキュリティ企業は、アンチウイルスソフトウェアの検出を回避し、暗号資産ブラウザウォレットから情報を盗むマルウェア株を発見した。このマルウェアは、オンラインの偽の採用広告を通じて拡散する。

主要なアンチウイルスソフトウェアは、ModStealerマルウェアを報告するまで約1か月間検出できなかった。それはすでにNode.js環境で作業していた開発者を標的とした。ModStealerは、ブラウザベースの暗号資産ウォレット拡張機能、システム資格情報、およびデジタル証明書を検索し、盗まれた情報をコマンド・アンド・コントロール（C2）サーバーに送信する。C2サーバーは、詐欺師が侵害されたデバイスを管理するための中央ハブとして機能する。 

ModStealerはNode.jsを悪用して秘密鍵を盗む

研究によると 9to5Mac, ModStealerマルウェアはmacOSシステム上で、永続性を達成するためにバックグラウンドヘルパープログラムとして偽装し、コンピュータが再起動するたびに自動的に実行されるようにした。感染したシステムには、sysupdater.datというラベルの付いたファイルと、不審なサーバーへの異常な接続があった。 

SlowMist（ブロックチェーンセキュリティ企業）の最高情報セキュリティ責任者であるShan Zhang氏は、ModStealerが主流のアンチウイルスソフトウェアの検出を回避し、デジタル資産エコシステムに重大なリスクをもたらすと明らかにした。彼は、このマルウェアはマルチプラットフォーム対応とステルス実行機能を備えており、従来のマルウェアと区別されると付け加えた。 

Charles Guillemet、Ledger CTO、 明らかにした また、Node Package Manager（npm）の開発者アカウントを侵害し、悪意のあるコードを拡散しようとする同様の攻撃もあり、取引中にウォレットアドレスが静かに置き換えられる可能性があります。彼は、このような事件がブロックチェーン関連のコードライブラリがいかに脆弱であるかを示していると警告しました。

「攻撃者のミスによりCI/CDパイプラインでクラッシュが発生し、早期検知と影響の限定につながりました。それでも、これは明確な警告です：資金がソフトウェアウォレットや取引所に置かれている場合、コードの実行1回で全てを失う可能性があります。サプライチェーンの侵害は依然として強力なマルウェア配信ベクターであり、より標的型攻撃も出現しています。」

–Charles Guillemet、Ledger CTO

Zhang氏は、ModStealerマルウェアが暗号通貨ユーザーやプラットフォームに直接的な脅威をもたらすと警告し、個人ユーザーにとって、秘密鍵、シードフレーズ、取引所APIキーの侵害が即座の損失につながる可能性があることを付け加えました。また、ブラウザ拡張機能ウォレットデータの大量盗難が、大規模なオンチェーン攻撃を助長し、ユーザーの信頼を弱め、暗号通貨サプライチェーン全体のリスクを高める可能性にも言及しました。 

新しいサイバー攻撃が暗号ウォレットデータを標的に

Guillemet 問題を解決するため、HypurrFiは現在、Aaveのデプロイヤーおよびセキュリティ研究者と連携している。また、他のAaveフォークプロジェクトにもセキュリティに関する洞察を提供するよう連絡するよう促し、この脆弱性が自社の市場以外のプラットフォームにも影響を与える可能性があることを示唆した。 JavaScriptエコシステムが、chalk、strip-ansi、color-convert、error-exなどのライブラリを対象とした大規模なサプライチェーン攻撃によって侵害されたと述べました。影響を受けたパッケージは週に10億回以上ダウンロードされており、ブロックチェーンエコシステムに深刻な脅威をもたらしています。 

このマルウェアはクリプトクリッパーとして機能し、ネットワークリクエスト内のウォレットアドレスを置き換えたり、MetaMaskやその他のウォレット経由で開始されたトランザクションを改ざんしたりすることができました。この攻撃は、CI/CDパイプラインのビルド失敗という小さな事象によって発見されました。研究者らは後で、マルウェアが2つの戦略を使用していることを発見しました。最初の戦略はパッシブアドレススワッピングで、送信されるトラフィックリクエストを監視し、ウォレットアドレスをハッカーが制御するアドレスに置き換えます。これにはLevenshtein距離アルゴリズムが使用され、視覚的に変更を検出しにくい似通ったアドレスが選択されます。

攻撃者が利用したもう1つの方法は、アクティブなトランザクションハイジャックで、暗号ウォレットが検出されると、ユーザーの承認前にメモリ内の保留中のトランザクションを改ざんします。このトリックにより、ユーザーは直接攻撃者のウォレットへの送金に署名させられました。

類似の事件は 報告しました。これには完全な準備預金と独立監査が含まれます。 Cryptopolitanで最近報告され、ReversingLabsの研究により、Ethereumスマートコントラクトに隠された別のマルウェアが明らかになりました。この攻撃は、colortoolv2やmimelib2などのnpmパッケージを介してダウンロードされ、これらはEthereumブロックチェーンに保存されたマルウェアソフトウェアを取得する第二段階エージェントとして機能しました。 

ReversingLabsは、マルウェアがEthereumスマートコントラクト内に悪意のあるURLを隠すことでセキュリティスキャンを回避したと明らかにしました。その後、これは暗号通貨取引ボットを装った偽のGitHubリポジトリを通じてダウンロードされました。この活動は、悪意のあるリポジトリの正当性を高める協調攻撃システムであるStargazerのゴーストネットワークに関連付けられています。