해커들은 일반 서버를 버리고 분산 시스템을 사용하여 개발자를 공격하고 암호화폐 자금을 훔치고 있습니다. 그들은 전통적인 명령 및 제어(C2) 서버를 완전히 분산된 옵션으로 대체하고 있습니다.

이번 공격에서 악성 코드는 솔라나 블록체인을 악용합니다. 솔라나 트랜잭션의 메모 필드를 사용하여 암호화폐 지갑 데이터와 심지어 하드웨어 지갑 복구 구문까지 훔치는 스텔스 악성 코드를 실행합니다.

메모 필드는 원래 간단한 거래 메모를 위해 설계되었지만, 공격자들은 이제 이를 숨겨진 통신 계층으로 사용하고 있습니다. 이는 공개된 블록체인 기능을 악성 코드 제어를 위한 비밀 채널로 전환시킵니다.

솔라나와 같은 분산 메모는 공개적이고 영구적이며 단일 당사자에 의해 삭제될 수 없습니다. 또한 공격자는 악성 코드를 변경하지 않고도 지시사항을 업데이트할 수 있습니다.

이 캠페인은 적어도 2022년부터 활동해 온 GlassWorm 악성 코드의 새로운 버전으로 간주됩니다.

솔라나 메모는 데드 드롭 리졸버 역할을 함

Aikido의 보안 연구원들에 따르면, 이 공격은 세 단계 또는 세 가지 페이로드로 구성됩니다. 첫 번째 단계/페이로드는 단순히 진입점입니다. 개발자가 npm, PyPI, GitHub 또는 Open VSX 마켓플레이스 같은 오픈 소스 저장소에서 악성 패키지를 설치하면 시작됩니다.

악성 코드는 시스템 로케일이 러시아어인지 확인하며, 그렇다면 공격을 진행하지 않습니다. 이는 공격자들이 러시아에 기반을 두고 있어 당국에 잡히기를 원하지 않기 때문입니다. 설치된 후, 악성 코드는 솔라나 블록체인을 사용하여 공격자의 명령 및 제어(C2) 서버 IP 주소를 가져옵니다. 메모 필드에 C2 서버의 IP 주소가 포함된 특정 솔라나 트랜잭션을 찾습니다.

악성 코드는 로그인 세션, 세션 토큰, 클라우드 액세스와 같은 브라우저 데이터도 찾습니다. 이는 중앙 집중식 거래소 계정, npm, GitHub 및 AWS 계정에 접근할 수 있음을 의미합니다.

출처: Aikido Security.

데이터를 수집한 후, 악성 코드는 이를 ZIP 파일로 압축하여 공격자의 서버로 전송합니다.

피싱을 통한 하드웨어 지갑 표적

두 번째 부분은 브라우저 데이터를 훔치는 WebSocket 기반 JavaScript RAT(원격 접근 트로이 목마)입니다. 또한 거래소와 같은 특정 사이트를 모니터링하고 쿠키를 실시간으로 훔치는 가짜 Chrome 확장 프로그램을 설치합니다. 이는 데드 드롭 리졸버로 Google 캘린더 이벤트를 통해 다운로드됩니다. 이 접근 방식은 공격자가 실제 서버를 숨기고 보안 필터를 우회하며 간접적인 전달 계층으로 작용할 수 있게 합니다.

마지막 페이로드는 두 부분으로 나뉩니다. 첫 번째 부분은 Ledger 및 Trezor와 같은 하드웨어 지갑을 탐색하는 .NET 바이너리입니다. 지갑을 발견하면 사용자를 속여 복구 문구를 입력하도록 유도하는 가짜 오류 메시지를 표시합니다.

두 번째 단계와 달리, 이 RAT는 실시간 제어를 가지고 있습니다. 이는 활성 상태를 유지하며 브라우저를 모니터링합니다. 새 쿠키를 캡처하고 로그인된 거래소 계정과 같은 활성 세션을 추적하며, 키보드 입력을 기록하고 스크린샷을 찍습니다. 또한 공격자가 피해자의 기계에서 명령을 실행할 수 있게 합니다.

두 번째 단계와 달리, 이 RAT(Remote Access Trojan)은 브라우저 데이터만 훔치는 것이 아니라 실시간 제어를 제공합니다. 지속적으로 활성 상태를 유지하며 브라우저를 모니터링하고, 새로운 쿠키를 캡처하며, 로그인된 거래소 계정과 같은 활성 세션을 추적합니다. 또한 키보드 입력을 기록하고 스크린샷을 촬영하며, 공격자가 피해자의 컴퓨터에서 명령을 실행할 수 있도록 합니다.

GlassWorm 제거는 어렵습니다. 이 악성코드는 자신을 다시 다운로드할 수 있으며 재부팅 후에도 생존합니다. 또한 DHT(분산 해시 테이블) 조회 및 Solana 메모와 같은 대체 방법을 사용하여 제어 서버를 찾습니다.

중앙 서버가 없고 데이터가 여러 컴퓨터에 공유되어 있기 때문에 방어자가 네트워크 수준에서 공격을 차단하는 것이 어려워집니다.