Solanaのメモフィールドが悪用され、ハッカーによるステルスマルウェアが実行される

この攻撃では、マルウェアはソラナブロックチェーンを悪用します。ソラナトランザクションのメモフィールドを使用して、暗号資産ウォレットデータやハードウェアウォレットの回復フレーズまで盗むステルスマルウェアを実行します。

メモフィールドは元々、シンプルなトランザクションノート用に設計されていましたが、攻撃者は今やそれを隠された通信層として使用しています。これにより、パブリックなブロックチェーンの機能がマルウェア制御のための非公式なチャネルに変貌します。

ソラナのような分散型メモは公開されており永続的であり、単一の主体によって取り消すことはできません。さらに、攻撃者はマルウェアを変更せずに指示を更新できます。

このキャンペーンは、少なくとも2022年から活動してきたGlassWormマルウェアの新しいバージョンと見なされています。

ソラナのメモはデッドドロップリゾルバーとして機能します

Aikidoのセキュリティ研究者によると、攻撃には3つの段階、または3つのペイロードがあります。最初の段階/ペイロードは単なる入り口です。開発者がnpm、PyPI、GitHub、またはOpen VSXなどのオープンソースリポジトリから悪意のあるパッケージをインストールした瞬間に始まります。

マルウェアはその後、システムのロケールがロシア語かどうかを確認し、そうであれば攻撃を続行しません。これは、攻撃者がおそらくロシアに拠点を置き、当局に捕まりたくないためです。インストールされると、マルウェアはソラナブロックチェーンを使用して攻撃者のコマンド・アンド・コントロール（C2）サーバーのIPアドレスを取得します。それは、メモフィールドにC2サーバーのIPアドレスを含む特定のトランザクションを探します。

マルウェアは、ログインセッション、セッショントークン、クラウドアクセスなどのブラウザデータも探します。つまり、中央集権型取引所のアカウント、npm、GitHub、AWSアカウントにアクセスできる可能性があります。

出典: Aikido Security。

データを収集した後、マルウェアはそれをZIPファイルに圧縮し、攻撃者のサーバーに送信します。

フィッシング攻撃で標的となるハードウェアウォレット

2番目の部分は、ブラウザデータを盗むWebSocketベースのJavaScript RAT（リモートアクセストロイの木馬）です。また、取引所などの特定のサイトを監視し、クッキーをリアルタイムで盗む偽のChrome拡張機能をインストールします。これは、デッドドロップリゾルバーとしてGoogleカレンダーのイベントを通じてダウンロードされます。このアプローチにより、攻撃者は実際のサーバーを隠し、セキュリティフィルターを回避し、間接的な配信層として機能させることができます。

最後のペイロードは2つの部分に分割される。最初の部分は.NETバイナリであり、レジャーやトレザーなどのハードウェアウォレットを探す。それらが見つかった場合、ユーザーを騙してリカバリーフレーズを入力させる偽のエラーメッセージが表示される。

第二段階ではマルウェアがブラウザデータのみを盗むのに対し、このRATはライブ制御を持っています。それはアクティブな状態を維持し、ブラウザを監視します。新しいクッキーをキャプチャし、ログイン済みの取引所アカウントなどのアクティブなセッションを追跡し、キー入力をログに記録し、スクリーンショットを撮ります。さらに、攻撃者が被害者のマシンでコマンドを実行することを可能にします。

GlassWormの削除は困難です。マルウェアは自身を再ダウンロードでき、再起動後も生存します。また、DHT（分散ハッシュテーブル）ルックアップやソラナのメモなどのフォールバックメソッドを使用して、制御サーバーを見つけます。

中央サーバーがなく、データが多くのコンピュータ間で共有されているため、防御者がネットワークレベルで攻撃をブロックするのは困難になります。

この攻撃は非常に危険です。暗号資産の盗難、システム全体の制御、削除不可能なネットワークを組み合わせているため、深刻度が高いです。