악의적 인 행위자들은 이제 악의적 인 코드를 합법적 인 프로젝트에 주입하여 의심하지 않는 사용자로부터 디지털 자산을 훔치고 있습니다. 보고서에 따르면 사이버 보안 연구원들은 손상된 NPM 패키지를 통해 암호화 사용자를 대상으로하는 정교한 맬웨어 캠페인을 발견했습니다.
보고서에 따르면,이 공격은 특히 원자 및 출애굽 지갑의 사용자를 대상으로하며, 공격자는 공격자의 지갑에 자금을 리디렉션하는 악의적 인 코드를 주입하여 공격자가 납치 된 거래를 통해 거래를합니다. 최신 캠페인은 소프트웨어 공급망 공격을 통해 암호화 사용자에 대한 지속적인 공격 체인과 일치합니다.
공격의 기원은 일반적으로 개발자로부터 나온 것이며, 대부분은 자신의 프로젝트에 무의식적으로 손상된 NPM 패키지를 설치합니다. 이 캠페인에서 내가dent패키지 중 하나는“PDF-to-Office”입니다. 이는 정상적으로 나타나고 합법적으로 보이지만 숨겨진 악의적 인 코드가 포함되어 있습니다. 설치 후 패키지는 설치된 암호 지갑에 대한 사용자의 장치를 스캔하고 사용자의 지식없이 거래를 가로 채고 리디렉션 할 수있는 악의적 인 코드를 주입합니다.
사이버 보안 연구원은 암호 지갑을 대상으로하는 악의적 코드를 표시합니다
이 공격의 영향은 피해자에게는 매우 심각하며, 악의적 인 코드는 공격자가 제어하는 지갑으로 암호화 트랜잭션을 조용히 방향 전환 할 수 있습니다. 이러한 공격은 Ethereum, Solana, XRP및 Tron기반 USDT를 포함한 여러 디지털 자산에서 작동합니다. 맬웨어는이 공격을 효과적으로 수행하여 지갑 주소를 합법적 인 주소에서 사용자가 자금을 보내려고하는 순간에 공격자 제어 주소로 전환합니다.
악의적 인 캠페인은 의심스러운 NPM 패키지에 대한 분석을 통해 리버 싱 랩스 연구원들은 의심스러운 URL 연결 및 이전에 발견 된 악성 패키지와 유사한 코드 패턴을 포함하여 악의적 인 행동의 징후가 너무 많다고 언급했습니다. 그들은 이번 주 악성 코드를 사용하려고 시도한 많은 캠페인이 있다고 언급했다. 그들은 공격자 들이이 기술을 사용하여 끈기를 유지하고 감지를 피하고 있다고 생각합니다.
“가장 최근에, 4 월 1 일에 출시 된 캠페인은 PDF-to-Office 패키지를 PDF 형식 파일을 Microsoft Office 문서로 변환하기위한 라이브러리로 제기 한 NPM 패키지 관리자에게 패키지를 발표했습니다. 실행되면이 패키지는 악성 코드를 합법적 인 Crypto Wallet 소프트웨어 Atomic Wallet 및 Exodus로 주입했습니다.
감염 메커니즘 및 코드 주입
기술 시험에 따르면 공격은 다단계이며 사용자가 패키지를 설치할 때 시작됩니다. 나머지는 지갑 IdentIfication, File Extrac, 악성 코드 주입 및 궁극적으로 거래 하이재킹을 진행할 때 발생합니다. 공격자는 또한 난독 화 기술을 사용하여 의도를 숨기고 전통적인 도구가 수령하기가 어렵게하여 사용자가 발견 할 때 너무 늦게 만듭니다.
설치 후, 악성 패키지가 설치된 지갑 소프트웨어를 타겟팅하는 페이로드 타겟팅을 실행할 때 감염이 시작됩니다. 코드 I는 Electron기반 애플리케이션에서 사용하는 ASAR 패키지 형식을 목표로하기 전에 지갑 응용 프로그램 파일의 위치를dent. 이 코드는 특히 "AppData/Local/프로그램/Atomic/Resources/App.Asar"와 같은 경로의 파일을 검색합니다. 일단 그것을 찾으면, 맬웨어는 애플리케이션 아카이브를trac하고 악의적 인 코드를 주입 한 다음 아카이브를 재 구축합니다.
주입은 특히 지갑 소프트웨어 내부에있는 JavaScript 파일, 특히 "공급 업체"와 같은 공급 업체 파일을 대상으로합니다. 그런 다음 맬웨어는 실제 지갑 주소를 Base64 인코딩을 사용하여 공격자의 속성으로 바꾸는 트랜잭션 처리 코드를 수정합니다. 예를 들어, 사용자가 Ethereum보내려고 할 때 코드는 수신자 주소를 디코딩 된 버전의 주소로 대체합니다.
감염이 완료된 후 맬웨어는 명령 및 제어 서버를 사용하여 통신하여 사용자의 홈 디렉토리 경로를 포함한 설치 상태 정보를 전송합니다. 이를 통해 공격자는 촉발 trac 손상된 시스템에 대한 정보를 수집 할 수 있습니다. ReversingLabs에 따르면, 악의적 인 경로는 또한 패키지가 제거 된 경우에도 시스템의 Web3 지갑이 여전히 감염된 상태에서 지속성의 증거를 보여 주었다.
크립토 폴리탄 아카데미 : 시장 스윙에 지쳤습니까? DeFi 어떻게 도움이되는지 알아보십시오. 지금 등록하십시오
