- 악의적인 행위자들이 이제 합법적인 암호화폐 프로젝트에 악성 코드를 주입하여 무고한 사용자의 디지털 자산을 탈취하고 있습니다.
- 공격의 근원은 주로 개발자이며, 악성 코드는 거래 중 수신자 지갑 주소를 변경할 수 있는 능력을 갖추고 있습니다.
- 악성 코드들은 npm 패키지가 제거된 후에도 시스템에 남아있는 지속성을 보여주는 증거를 나타냈습니다.
악성 행위자들은 이제 무고한 사용자들로부터 디지털 자산을 훔치기 위해 합법적인 프로젝트에 악성 코드를 주입하고 있습니다. 보고서에 따르면, 사이버 보안 연구원들은 침해된 npm 패키지를 통해 암호화폐 사용자를 표적으로 하는 정교한 악성 소프트웨어 캠페인을 발견했습니다.
보고서에 따르면, 이 공격은 특히 Atomic과 Exodus 월렛 사용자를 표적으로 하며, 공격자는 악성 코드를 주입하여 자금을 공격자의 월렛으로 리디렉션함으로써 거래를 하이재킹합니다. 최신 캠페인은 소프트웨어 공급망 공격을 통해 암호화폐 사용자를 대상으로 하는 지속적인 공격 체인과 일치합니다.
공격의 근원은 주로 개발자들로부터 비롯되며, 대부분의 개발자들은 자신의 프로젝트에 침해된 npm 패키지를 무심코 설치합니다. 이 캠페인에서 식별된 하나의 패키지는 “pdf-to-office”로, 정상적으로 보이며 합법적으로 보이지만 숨겨진 악성 코드를 포함하고 있습니다. 설치된 후, 이 패키지는 사용자의 장치에 설치된 암호화폐 월렛을 스캔하고 사용자의 몰래 거래를 가로채고 리디렉션할 수 있는 악성 코드를 주입합니다.
사이버 보안 연구원들이 암호화폐 월렛을 표적으로 하는 악성 코드를 경고합니다
이 공격의 영향은 피해자들에게 매우 치명적이며, 악성 코드는 암호화폐 거래를 공격자가 통제하는 월렛으로 조용히 리디렉션할 수 있습니다. 이러한 공격은 이더리움, 솔라나, XRP, 트론 기반 USDT를 포함한 여러 디지털 자산에서 작동합니다. 악성 소프트웨어는 사용자가 자금을 전송하려는 순간 합법적인 주소를 공격자가 통제하는 주소로 전환하여 이 공격을 효과적으로 수행합니다.
악성 캠페인은 리버싱랩스 연구원들이 의심스러운 npm 패키지를 분석하는 과정에서 발견했습니다. 연구원들은 의심스러운 URL 연결 및 이전에 발견된 악성 패키지와 유사한 코드 패턴을 포함하여 악성 행동의 많은 징후가 있다고 언급했습니다. 그들은 이번 주 동안 이 악성 코드를 사용하려는 여러 캠페인이 있었다고 밝혔습니다. 공격자는 이 기술을 사용하여 지속성을 유지하고 탐지를 회피하고 있다고 믿습니다.
“가장 최근인 4월 1일, 캠페인은 PDF 형식 파일을 마이크로소프트 오피스 문서로 변환하는 라이브러리를 가장하는 ‘pdf-to-office’ 패키지를 npm 패키지 관리자에 게시했습니다. 실행 시, 이 패키지는 합법적으로 로컬에 설치된 암호화폐 월렛 소프트웨어인 Atomic Wallet과 Exodus에 악성 코드를 주입하며, 이 과정에서 기존 비악성 파일을 덮어씁니다,”라고 리버싱랩스는 말했습니다.
감염 메커니즘 및 코드 주입
기술적 조사에 따르면, 이 공격은 다단계로 진행되며 사용자가 패키지를 설치할 때 시작됩니다. 나머지 과정은 월렛 식별, 파일 추출, 악성 코드 주입, 그리고 궁극적으로 거래 하이재킹을 진행할 때 발생합니다. 공격자들은 또한 전통적인 도구가 감지하기 어렵게 의도를 숨기기 위해 난독화 기술을 사용하며, 사용자가 발견했을 때는 이미 늦게 됩니다.
설치 후, 감염은 설치된 월렛 소프트웨어를 표적으로 하는 악성 패키지가 페이로드를 실행할 때 시작됩니다. 코드는 먼저 월렛의 애플리케이션 파일 위치를 식별한 후, Electron 기반 애플리케이션에서 사용되는 ASAR 패키지 형식을 표적으로 삼습니다. 코드는 “AppData/Local/Programs/atomic/resources/app.asar”와 같은 경로에 있는 파일을 특별히 검색합니다. 한 번 위치를 찾으면, 악성 소프트웨어는 애플리케이션 아카이브를 추출하고, 악성 코드를 주입한 다음 아카이브를 다시 빌드합니다.
주입은 특히 월렛 소프트웨어 내부의 JavaScript 파일, 특히 “vendors.64b69c3b00e2a7914733.js”와 같은 벤더 파일을 표적으로 합니다. 악성 소프트웨어는 그런 다음 base64 인코딩을 사용하여 공격자가 소유한 주소로 실제 월렛 주소를 교체하는 거래 처리 코드를 수정합니다. 예를 들어, 사용자가 이더리움을 전송하려고 할 때 코드는 수신자 주소를 해당 주소의 디코딩된 버전으로 대체합니다.
감염이 완료된 후, 악성 코드는 명령 및 제어 서버를 사용하여 통신하며, 사용자의 홈 디렉토리 경로 포함 설치 상태 정보를 전송합니다. 이를 통해 공격자는 성공적인 감염을 추적하고 침해된 시스템에 대한 정보를 수집할 수 있습니다. 리버싱랩스에 따르면, 악성 경로는 지속성의 증거도 보여주었으며, 패키지가 제거된 후에도 시스템의 Web3 월렛은 여전히 감염된 상태로 남아 있었습니다.
이 글을 읽고 계신다면, 이미 앞서 나가고 있습니다. 뉴스레터로 그 위치를 유지하세요.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com 본 페이지에 제공된 정보를 바탕으로 이루어진 투자에 대해 어떠한 책임도 지지 않습니다. 투자 결정을 내리기 전에 반드시 독립적인 조사나 자격을 갖춘 전문가의 상담을 강력히 권장합니다.
오와투운세 아데바요
아데바요(Adebayo)는 암호화폐 분야에서 4년간의 경력을 가진 작가입니다. 그는 라고스 대학교에서 도시 및 지역 계획을 전공하고 졸업했으며, 토큰헬(Tokenhell)과 크립토티커(CryptoTicker)에서 암호화폐 및 핀테크 뉴스를 작성했습니다. 현재 그는 크립토폴리탄(Cryptopolitan)의 뉴스 기여자입니다.
