Campo de memo do Solana abusado por hackers para executar malware furtivo

Os hackers estão se afastando de servidores normais e usando sistemas descentralizados para atacar desenvolvedores e roubar seus fundos de criptomoedas. Eles estão substituindo completamente os servidores tradicionais de comando e controle (C2) por opções descentralizadas.

Neste ataque, o malware abusa da blockchain Solana. Ele usa o campo de memo das transações do Solana para executar malware furtivo que rouba dados de carteiras de criptomoedas e até frases de recuperação de carteiras de hardware.

O campo de memo foi originalmente projetado para notas de transação simples, mas os atacantes agora o estão usando como uma camada de comunicação oculta. Isso transforma um recurso de blockchain público em um canal secreto para controle de malware.

Memos descentralizados como os do Solana são públicos e permanentes e não podem ser removidos por nenhuma única parte. Além disso, os atacantes podem atualizar instruções sem alterar o malware.

A campanha é considerada uma nova versão do malware GlassWorm, que está ativo desde pelo menos 2022.

Memos do Solana atuam como um resolvedor de dead drop

De acordo com pesquisadores de segurança da Aikido, o ataque tem três etapas ou três cargas úteis. A primeira etapa/carga útil é apenas um ponto de entrada. Ela começa quando um desenvolvedor instala um pacote malicioso de repositórios de código aberto como npm, PyPI, GitHub ou os mercados Open VSX.

O malware então verifica se a localidade do sistema é russa e, se for, não prossegue com o ataque. Isso ocorre porque os atacantes provavelmente estão baseados na Rússia e não querem ser pegos pelas autoridades. Uma vez instalado, o malware usa a blockchain Solana para buscar o endereço IP do servidor de comando e controle (C2) do atacante. Ele procura uma transação específica no Solana que contém o endereço IP do servidor C2 no campo de memo.

O malware então se conecta ao servidor C2 e inicia a segunda etapa do ataque. Nesta etapa, o malware procura dados de criptomoedas como frases semente, chaves privadas e até capturas de tela de carteiras. Ele visa carteiras de extensão do navegador como MetaMask, Phantom, Coinbase, Exodus, Binance, Ronin, Keplr e mais.

O malware também procura dados do navegador como sessões de login, tokens de sessão e acesso à nuvem. Isso significa que ele pode acessar contas de exchanges centralizadas, npm, GitHub e AWS.

Após coletar os dados, o malware os compacta em um arquivo ZIP e os envia para o servidor do atacante.

Carteiras de hardware visadas por meio de phishing

A última carga útil se divide em duas partes. A primeira parte é um binário .NET que procura carteiras de hardware como Ledger e Trezor. Se encontrar uma, exibe uma mensagem de erro falsa que engana o usuário para que ele insira sua frase de recuperação.

A segunda parte é um RAT (trojan de acesso remoto) baseado em JavaScript via WebSocket que rouba dados do navegador. Ele também instala uma extensão falsa do Chrome que monitora sites específicos como exchanges e rouba cookies em tempo real. É baixado por meio de um evento do Google Calendar como um resolvedor de dead drop. Essa abordagem permite que o atacante oculte o servidor real, contorne os filtros de segurança e atue como uma camada de entrega indireta.

Ao contrário da segunda etapa, onde o malware apenas rouba dados do navegador, este RAT tem controle em tempo real. Ele permanece ativo e monitora o navegador. Captura novos cookies, rastreia sessões ativas como contas de exchange logadas, registra teclas pressionadas e tira capturas de tela. Além disso, permite que o atacante execute comandos na máquina da vítima.

É difícil remover o GlassWorm. O malware pode se rebaixar e sobreviver a reinicializações. Ele também usa métodos de fallback, como pesquisas em DHT (Tabela Hash Distribuída) e memos da Solana, para encontrar o servidor de controle.

Como não há um servidor central e os dados são compartilhados entre muitos computadores, torna-se difícil para os defensores bloquear o ataque no nível da rede.