Pesquisadores descobrem novo malware que visa carteiras de criptomoedas

A empresa de segurança Mosyle descobriu uma linhagem de malware capaz de burlar a detecção de software antivírus e roubar informações de carteiras de navegador de criptomoedas. O malware se espalha por meio de anúncios falsos de recrutadores online.

O principal software antivírus não detectou o malware ModStealer por quase um mês antes de relatá-lo. Ele visava desenvolvedores que já trabalhavam com ambientes Node.js. O ModStealer procura extensões de carteira de criptomoedas baseadas em navegador, credenciais do sistema e certificados digitais antes de enviar as informações roubadas para um servidor de comando e controle (C2). O servidor C2 atua como um hub central para golpistas gerenciarem dispositivos comprometidos. 

ModStealer explora o Node.js para roubar chaves privadas

De acordo com a pesquisa de 9to5Mac, o malware ModStealer se disfarçou em sistemas macOS como um programa auxiliar em segundo plano para alcançar persistência, garantindo que fosse executado automaticamente toda vez que o computador reiniciasse. Os sistemas infectados tinham um arquivo rotulado sysupdater.dat e conexões incomuns a servidores suspeitos. 

Shan Zhang, diretor de segurança da informação na SlowMist, uma empresa de segurança blockchain, revelou que o ModStealer evade a detecção por softwares antivírus mainstream e representa um risco significativo para o ecossistema de ativos digitais. Ele acrescentou que o malware tem suporte multiplataforma e execução furtiva, o que o diferencia de malwares tradicionais. 

Charles Guillemet, CTO da Ledger, revelou outro ataque semelhante que permitiu aos atacantes comprometer uma conta de desenvolvedor do Node Package Manager (npm) na tentativa de espalhar código malicioso, que pode substituir silenciosamente endereços de carteira durante as transações. Ele alertou que tais incidentes mostram quão vulneráveis as bibliotecas de código relacionadas à blockchain podem ser.

“Os erros dos atacantes causaram falhas nos pipelines de CI/CD, o que levou à detecção precoce e limitou o impacto. Ainda assim, este é um lembrete claro: se seus fundos estão em uma carteira de software ou em uma exchange, você está a uma execução de código de perder tudo. Comprometimentos da cadeia de suprimentos continuam sendo um vetor poderoso de entrega de malware, e também estamos vendo emergir mais ataques direcionados.”

–Charles Guillemet, CTO da Ledger

Zhang alertou que o malware ModStealer apresenta uma ameaça direta aos usuários e plataformas de criptomoedas, acrescentando que, para usuários individuais, o comprometimento de chaves privadas, frases semente e chaves de API de exchange pode levar a perdas imediatas. Ele também observou que o roubo em massa de dados de carteiras de extensão de navegador pode alimentar exploits on-chain em larga escala e enfraquecer a confiança do usuário, aumentando os riscos em toda a cadeia de suprimentos de criptomoedas. 

Novas explorações cibernéticas visam dados de carteiras de criptomoedas

Guillemet A HypurrFi, por meio de seu sistema de monitoramento interno, que o ecossistema JavaScript foi comprometido por um ataque massivo à cadeia de suprimentos que visava bibliotecas como chalk, strip-ansi, color-convert e error-ex. Os pacotes afetados foram baixados mais de um bilhão de vezes por semana, o que apresenta uma ameaça severa ao ecossistema blockchain. 

O software malicioso funcionava como um cripto-clipper, o que significava que podia substituir endereços de carteira em solicitações de rede ou modificar transações iniciadas via MetaMask e outras carteiras. O ataque foi descoberto por meio de uma pequena falha na compilação do pipeline de CI/CD. Os pesquisadores descobriram posteriormente que o malware usava duas estratégias. A primeira estratégia era a troca passiva de endereços, que monitorava solicitações de tráfego de saída e substituíia endereços de carteira pelos controlados pelo sequestrador. Ele usava o algoritmo de distância de Levenshtein, que seleciona endereços semelhantes, tornando visualmente difícil detectar mudanças.

Outro método utilizado pelos atacantes foi o sequestro ativo de transações, que modifica transações pendentes na memória antes de encaminhá-las para aprovação do usuário assim que uma carteira de criptomoedas é detectada. Isso enganou os usuários, fazendo com que assinassem transferências diretamente para a carteira do atacante.

Incidentes semelhantes foram reportou no Cryptopolitan recentemente, onde a pesquisa da ReversingLabs revelou outro malware oculto em contratos inteligentes Ethereum. O ataque foi baixado por meio de pacotes npm, incluindo colortoolv2 e mimelib2, que atuaram como agentes de segunda etapa, buscando o software malicioso armazenado na blockchain Ethereum. 

A ReversingLabs revelou que o software malicioso burlou verificações de segurança ocultando URLs maliciosas dentro dos contratos inteligentes Ethereum. Ele foi posteriormente baixado por meio de repositórios falsos do GitHub, que se passavam por bots de negociação de criptomoedas. A operação foi vinculada à Ghost Network da Stargazer, um sistema de ataques coordenados que aumenta a legitimidade de repositórios maliciosos.