Злоумышленники внедряют вредоносный код в легитимные криптопроекты

Злоумышленники теперь внедряют вредоносный код в легитимные проекты, чтобы похищать цифровые активы у не подозревающих об этом пользователей. Согласно сообщениям, специалисты по кибербезопасности раскрыли сложную кампанию вредоносного ПО, нацеленную на пользователей криптовалют через скомпрометированные пакеты npm.

Согласно отчету, атака конкретно нацелена на пользователей кошельков Atomic и Exodus, при этом злоумышленники перехватывают транзакции, внедряя вредоносный код, который перенаправляет средства на кошелек атакующего. Последняя кампания соответствует продолжающейся цепочке атак на пользователей криптовалют через атаки на цепочку поставок программного обеспечения.

Источником атаки обычно являются сами разработчики, которые незаметно для себя устанавливают скомпрометированные пакеты npm в свои проекты. Одним из таких пакетов, выявленных в этой кампании, является «pdf-to-office», который выглядит нормально и легитимно, но содержит скрытый вредоносный код. После установки пакет сканирует устройство пользователя на наличие установленных криптокошельков и внедряет вредоносный код, способный перехватывать и перенаправлять транзакции без ведома пользователя.

Специалисты по кибербезопасности предупреждают о вредоносном коде, нацеленном на криптокошельки

Последствия этой атаки крайне серьезны для жертв: вредоносный код способен незаметно перенаправлять криптографические транзакции на кошельки, контролируемые злоумышленником. Эти атаки затрагивают несколько цифровых активов, включая Ethereum, Solana, XRP и USDT на базе Tron. Вредоносное ПО эффективно выполняет эту атаку, подменяя адреса кошельков с легитимных на адреса, контролируемые злоумышленником, в момент, когда пользователь пытается отправить средства.

Вредоносная кампания была обнаружена исследователями ReversingLabs в ходе анализа подозрительных пакетов npm. Исследователи отметили, что существует множество признаков вредоносного поведения, включая подозрительные URL-соединения и шаблоны кода, похожие на ранее обнаруженные вредоносные пакеты. Они упомянули, что на этой неделе было предпринято несколько кампаний, пытавшихся использовать этот вредоносный код. Они считают, что злоумышленники используют эту технику для обеспечения постоянства доступа и уклонения от обнаружения.

«Недавно, 1 апреля, была запущена кампания, опубликовавшая пакет pdf-to-office в менеджере пакетов npm, который выдавал себя за библиотеку для преобразования файлов формата PDF в документы Microsoft Office. При выполнении пакет внедрял вредоносный код в легитимное локально установленное программное обеспечение криптокошельков Atomic Wallet и Exodus, перезаписывая существующие немалые файлы в процессе», — говорится в отчете ReversingLabs.

Механизм заражения и внедрение кода

Согласно техническому анализу, атака многоэтапная и начинается с момента установки пакета пользователем. Остальные этапы происходят при идентификации кошелька, извлечении файлов, внедрении вредоносного кода и, в конечном итоге, перехвате транзакций. Злоумышленники также используют техники обфускации, чтобы скрыть свои намерения, что затрудняет обнаружение традиционными инструментами, и к моменту обнаружения пользователем становится уже слишком поздно.

После установки заражение начинается, когда вредоносный пакет выполняет свой payload, нацеленный на установленное программное обеспечение кошелька. Код определяет расположение файлов приложения кошелька, прежде чем атаковать формат пакета ASAR, используемый приложениями на базе Electron. Код специально ищет файлы в таких путях, как «AppData/Local/Programs/atomic/resources/app.asar». После обнаружения вредоносное ПО извлекает архив приложения, внедряет свой вредоносный код, а затем восстанавливает архив.

Внедрение кода нацелено конкретно на файлы JavaScript, находящиеся внутри программного обеспечения кошелька, особенно на файлы поставщиков, такие как «vendors.64b69c3b00e2a7914733.js». Затем вредоносное ПО изменяет код обработки транзакций, заменяя реальные адреса кошелька на адреса злоумышленника с использованием кодировки base64. Например, когда пользователь пытается отправить Ethereum, код заменяет адрес получателя на декодированную версию адреса.

После завершения заражения вредоносное ПО связывается с сервером управления и контроля (C2), отправляя информацию о статусе установки, включая путь к домашней директории пользователя. Это позволяет злоумышленнику отслеживать успешные заражения и потенциально собирать информацию о скомпрометированных системах. По данным ReversingLabs, вредоносный путь также демонстрирует признаки устойчивости: кошельки Web3 остаются зараженными даже после удаления пакета.