脅威アクターが正当な暗号プロジェクトに悪意のあるコードを注入

著者

Owotunse Adebayo 3分で読了公開 13年 2025月

悪意のある攻撃者は現在、正規の暗号通貨プロジェクトに悪意のあるコードを注入し、油断しているユーザーからデジタル資産を盗もうとしています。
攻撃の発生源は通常開発者からのもので、悪意のあるコードは取引中に受信者のウォレットアドレスを切り替える能力を持っています。
これらの悪意のあるコードには持続性も示されており、npmパッケージが削除された後もシステムに残存することが確認されています。

悪意のあるアクターは、無邪気なユーザーからデジタル資産を盗むために、正当なプロジェクトに悪意のあるコードを注入し始めています。報告によると、サイバーセキュリティ研究者は、侵害されたnpmパッケージを通じて暗号通貨ユーザーを標的にする洗練されたマルウェアキャンペーンを発見しました。

報告によると、攻撃は特にAtomicおよびExodusウォレットのユーザーを標的にしており、攻撃者は悪意のあるコードを注入して資金を攻撃者のウォレットにリダイレクトすることでトランザクションをハイジャックします。最新のキャンペーンは、ソフトウェアサプライチェーン攻撃を通じて暗号通貨ユーザーに対する継続的な攻撃チェーンに沿ったものです。

攻撃の起源は通常開発者にあり、その多くが無意識のうちに侵害されたnpmパッケージをプロジェクトにインストールしています。このキャンペーンで特定されたパッケージの一つに「pdf-to-office」があり、通常は正常に見え、正当性がありますが、隠された悪意のあるコードを含んでいます。インストール後、パッケージはユーザーのデバイス上のインストールされた暗号ウォレットをスキャンし、ユーザーの知識なしにトランザクションをインターセプトおよびリダイレクトできる悪意のあるコードを注入します。

サイバーセキュリティ研究者が暗号ウォレットを標的とする悪意のあるコードを警告

この攻撃の影響は被害者にとって非常に深刻で、悪意のあるコードは暗号トランザクションを攻撃者が制御するウォレットに静かにリダイレクトする能力を持っています。これらの攻撃は、Ethereum、Solana、XRP、TronベースのUSDTを含む複数のデジタルアセットで機能します。マルウェアは、ユーザーが資金を送信しようとした瞬間に、ウォレットアドレスを正当なものから攻撃者が制御するアドレスに切り替えることで、この攻撃を実行します。

悪意のあるキャンペーンは、ReversingLabsの研究者によって、不審なnpmパッケージの分析を通じて発見されました。研究者は、不審なURL接続や以前発見された悪意のあるパッケージに似たコードパターンなど、悪意のある行動の多くの兆候があると指摘しました。今週、この悪意のあるコードを使用しようとするキャンペーンが多数あったと述べました。攻撃者はこの手法を使用して、永続性を維持し、検出を回避していると信じています。

「最も最近では、4月1日にキャンペーンが開始され、pdf-to-officeというパッケージがnpmパッケージマネージャーに公開されました。これはPDF形式のファイルをMicrosoft Officeドキュメントに変換するためのライブラリとして振る舞いました。実行されると、パッケージは正当なローカルインストールの暗号ウォレットソフトウェアAtomic WalletおよびExodusに悪意のあるコードを注入し、その過程で既存の非悪意のあるファイルを上書きしました」とReversingLabsは述べています。

感染メカニズムとコード注入

技術的な調査によると、攻撃は多段階であり、ユーザーがパッケージをインストールした時点で始まります。残りのプロセスは、ウォレットの識別、ファイルの抽出、悪意のあるコードの注入、そして最終的にトランザクションのハイジャックを進める際に発生します。攻撃者はまた、意図を隠すために難読化技術を使用しており、従来のツールでは検出が困難で、ユーザーが発見した時には遅すぎることがあります。

インストール後、感染は悪意のあるパッケージがインストールされたウォレットソフトウェアを標的とするペイロードを実行することで始まります。コードは、Electronベースのアプリケーションで使用されるASARパッケージ形式を標的とする前に、ウォレットのアプリケーションファイルの場所を識別します。コードは、「AppData/Local/Programs/atomic/resources/app.asar」などのパス内のファイルを特に検索します。見つけると、マルウェアはアプリケーションアーカイブを抽出し、悪意のあるコードを注入してからアーカイブを再構築します。

注入は特にウォレットソフトウェア内のJavaScriptファイル、特に「vendors.64b69c3b00e2a7914733.js」のようなベンダーファイルを標的とします。マルウェアは、base64エンコーディングを使用して、実際のウォレットアドレスを攻撃者に属するアドレスに置き換えることで、トランザクション処理コードを変更します。例えば、ユーザーがEthereumを送信しようとした場合、コードは受信者アドレスをアドレスのデコードされたバージョンに置き換えます。

感染が完了した後、マルウェアはコマンド・アンド・コントロールサーバーを使用して通信し、ユーザーのホームディレクトリパスを含むインストールステータス情報を送信します。これにより、攻撃者は成功した感染を追跡し、侵害されたシステムに関する情報を収集する可能性があります。ReversingLabsによると、悪意のあるパスには永続性の証拠も示されており、パッケージが削除された後もシステム上のWeb3ウォレットは感染したままです。

最も賢明な暗号通貨の専門家たちはすでに私たちのニュースレターを読んでいます。あなたも参加しませんか？彼らに加わりましょう。