Atores de ameaça estão injetando códigos maliciosos em projetos de criptomoedas legítimos

Atores maliciosos estão agora injetando códigos maliciosos em projetos legítimos para roubar ativos digitais de usuários desavisados. De acordo com relatórios, pesquisadores de cibersegurança descobriram uma campanha sofisticada de malware que está direcionada a usuários de criptomoedas por meio de pacotes npm comprometidos.

De acordo com o relatório, o ataque direciona especificamente usuários das carteiras Atomic e Exodus, com o atacante sequestrando transações ao injetar códigos maliciosos que redirecionam os fundos para a carteira do atacante. A campanha mais recente está alinhada com a cadeia contínua de ataques contra usuários de criptomoedas por meio de ataques à cadeia de suprimentos de software.

A origem do ataque geralmente vem dos desenvolvedores, com a maioria deles instalando sem saber os pacotes npm comprometidos em seus projetos. Um desses pacotes identificados nesta campanha é o “pdf-to-office”, que parece normal e legítimo, mas contém códigos maliciosos ocultos. Após a instalação, o pacote verifica o dispositivo do usuário em busca de carteiras de criptomoedas instaladas e injeta o código malicioso capaz de interceptar e redirecionar transações sem o conhecimento do usuário.

Pesquisadores de cibersegurança sinalizam códigos maliciosos direcionados a carteiras de criptomoedas

O impacto deste ataque é muito grave para as vítimas, com os códigos maliciosos capazes de redirecionar silenciosamente transações de criptomoedas para carteiras controladas pelo atacante. Esses ataques funcionam em várias criptomoedas, incluindo Ethereum, Solana, XRP e USDT baseado em Tron. O malware executa efetivamente este ataque, alterando os endereços de carteira do legítimo para o endereço controlado pelo atacante no momento em que um usuário deseja enviar fundos.

A campanha maliciosa foi descoberta por pesquisadores da ReversingLabs por meio de sua análise de pacotes npm suspeitos. Os pesquisadores mencionaram que há muitos sinais de comportamentos maliciosos, incluindo conexões de URL suspeitas e padrões de código semelhantes a pacotes maliciosos descobertos anteriormente. Eles mencionaram que houve várias campanhas que tentaram usar o código malicioso esta semana. Eles acreditam que os atacantes estão usando essa técnica para manter a persistência e evitar a detecção.

“Mais recentemente, uma campanha lançada em 1º de abril publicou um pacote, pdf-to-office, no gerenciador de pacotes npm que se passava por uma biblioteca para converter arquivos no formato PDF para documentos do Microsoft Office. Quando executado, o pacote injetou código malicioso no software de carteira de criptomoedas instalado localmente, Atomic Wallet e Exodus, substituindo arquivos existentes não maliciosos no processo”, disse a ReversingLabs.

Mecanismo de infecção e injeção de código

De acordo com o exame técnico, o ataque é em múltiplas etapas e começa quando um usuário instala o pacote. O resto acontece quando eles prosseguem com a identificação da carteira, extração de arquivos, injeção de código malicioso e, finalmente, o sequestro de transações. Os atacantes também usam técnicas de ofuscação para esconder suas intenções, tornando difícil para ferramentas tradicionais detectá-lo, tornando-se tarde demais quando o usuário descobre.

Após a instalação, a infecção começa quando o pacote malicioso executa sua carga útil direcionada ao software de carteira instalado. O código identifica a localização dos arquivos do aplicativo da carteira antes de direcionar o formato de pacote ASAR usado por aplicativos baseados em Electron. O código procura especificamente por arquivos em caminhos como “AppData/Local/Programs/atomic/resources/app.asar”. Uma vez localizado, o malware extrai o arquivo do aplicativo, injeta seu código malicioso e, em seguida, reconstrói o arquivo.

As injeções direcionam especificamente arquivos JavaScript que estão dentro do software da carteira, especialmente arquivos de fornecedores como “vendors.64b69c3b00e2a7914733.js”. O malware modifica então o código de manipulação de transações para substituir os endereços reais da carteira pelos pertencentes ao atacante usando codificação base64. Por exemplo, quando um usuário tenta enviar Ethereum, o código substitui o endereço do destinatário por uma versão decodificada do endereço.

Após a infecção ser concluída, o malware se comunica usando um servidor de comando e controle, enviando informações de status de instalação, incluindo o caminho do diretório home do usuário. Isso permite que o atacante rastreie infecções bem-sucedidas e potencialmente colete informações sobre os sistemas comprometidos. De acordo com a ReversingLabs, o caminho malicioso também mostrou evidências de persistência, com a carteira Web3 nos sistemas ainda infectada mesmo quando o pacote foi removido.