Поле memo в Solana используется хакерами для запуска скрытого вредоносного ПО

Хакеры отказываются от обычных серверов и используют децентрализованные системы для атак на разработчиков и кражи их криптоактивов. Они полностью заменяют традиционные серверы командно-контрольных (C2) серверов на децентрализованные варианты.

В этой атаке вредоносное ПО использует блокчейн Solana. Оно использует поле memo транзакций Solana для запуска скрытого вредоносного ПО, которое крадет данные криптокошельков, а также восстановительные фразы аппаратных кошельков.

Поле memo изначально предназначалось для простых заметок к транзакциям, но теперь злоумышленники используют его как скрытый канал связи. Это превращает публичную функцию блокчейна в тайный канал для управления вредоносным ПО.

Децентрализованные мемо, такие как в Solana, являются публичными и постоянными, и ни одна сторона не может их удалить. Кроме того, злоумышленники могут обновлять инструкции, не изменяя само вредоносное ПО.

Кампания считается новой версией вредоносного ПО GlassWorm, которое активно с 2022 года.

Мемо в Solana действуют как разрешитель мертвой передачи

Согласно исследователям безопасности из Aikido, атака состоит из трех этапов или трех полезных нагрузок. Первый этап/полезная нагрузка — это просто точка входа. Она начинается, когда разработчик устанавливает вредоносный пакет из репозиториев с открытым исходным кодом, таких как npm, PyPI, GitHub или маркетплейсы Open VSX.

Затем вредоносное ПО проверяет, является ли системная локаль русской, и если да, то не продолжает атаку. Это связано с тем, что злоумышленники, вероятно, находятся в России и не хотят попасть в руки властей. После установки вредоносное ПО использует блокчейн Solana для получения IP-адреса сервера командно-контрольных (C2) серверов злоумышленника. Оно ищет конкретную транзакцию в Solana, которая содержит IP-адрес сервера C2 в поле memo.

Затем вредоносное ПО подключается к серверу C2 и начинает второй этап атаки. На этом этапе вредоносное ПО ищет криптографические данные, такие как сид-фразы, приватные ключи и даже скриншоты кошельков. Оно нацелено на кошельки в виде расширений браузера, такие как MetaMask, Phantom, Coinbase, Exodus, Binance, Ronin, Keplr и другие.

Вредоносное ПО также ищет данные браузера, такие как сеансы входа, токены сеанса и доступ к облачным сервисам. Это означает, что оно может получить доступ к аккаунтам централизованных бирж, npm, GitHub и AWS.

Собрав данные, вредоносное ПО сжимает их в ZIP-файл и отправляет на сервер злоумышленника.

Аппаратные кошельки становятся целью фишинговых атак

Последний полезный код разделяется на две части. Первая часть — это бинарный файл .NET, который ищет аппаратные кошельки, такие как Ledger и Trezor. Если он находит один из них, он показывает поддельное сообщение об ошибке, которое обманывает пользователя, заставляя его ввести свою восстановительную фразу.

Вторая часть — это JavaScript RAT (троян удаленного доступа) на основе WebSocket, который крадет данные браузера. Он также устанавливает поддельное расширение Chrome, которое отслеживает определенные сайты, такие как биржи, и крадет файлы cookie в реальном времени. Оно загружается через событие в Google Calendar в качестве разрешителя мертвой передачи. Этот подход позволяет злоумышленнику скрыть реальный сервер, обойти фильтры безопасности и действует как косвенный слой доставки.

В отличие от второго этапа, когда вредоносное ПО только крадет данные браузера, этот RAT имеет живой контроль. Он остается активным и отслеживает браузер. Он захватывает новые файлы cookie, отслеживает активные сеансы, такие как вошедшие в систему аккаунты бирж, регистрирует нажатия клавиш и делает скриншоты. Кроме того, он позволяет злоумышленнику выполнять команды на машине жертвы.

Удалить GlassWorm сложно. Вредоносное ПО может повторно загрузить себя и пережить перезагрузки. Оно также использует резервные методы, такие как поиск через DHT (распределенную хеш-таблицу) и мемо в Solana, чтобы найти сервер управления.

Поскольку нет центрального сервера, а данные распределяются между многими компьютерами, защитникам сложно заблокировать атаку на сетевом уровне.