研究人员发现针对加密货币钱包的新恶意软件

Mosyle安全公司发现了一种恶意软件菌株，能够绕过防病毒软件检测并窃取加密货币浏览器钱包中的信息。该恶意软件通过网上的虚假招聘广告传播。

主要防病毒软件在报告ModStealer恶意软件之前，几乎有一个月未检测到它。它针对已经在使用Node.js环境的开发人员。ModStealer扫描基于浏览器的加密货币钱包扩展、系统凭据和数字证书，然后将窃取的信息发送到命令和控制（C2）服务器。C2服务器充当骗子管理被入侵设备的中心枢纽。 

ModStealer利用Node.js窃取私钥

根据 9to5Mac, ModStealer恶意软件在macOS系统上伪装成后台辅助程序以实现持久性，确保每次计算机重启时它都会自动运行。受感染的系统有一个标记为sysupdater.dat的文件，并与可疑服务器有异常连接。 

SlowMist（一家区块链安全公司）的首席信息安全官Shan Zhang透露，ModStealer能够逃避主流防病毒软件的检测，并对数字资产生态系统构成重大风险。他补充说，该恶意软件具有多平台支持和隐蔽执行功能，这使其区别于传统恶意软件。 

Ledger CTO Charles Guillemet, 披露 另一起类似的攻击允许攻击者入侵Node Package Manager (npm) 开发人员账户，试图传播恶意代码，这可能会在交易过程中悄悄替换钱包地址。他警告说，此类事件表明与区块链相关的代码库可能非常脆弱。

“攻击者的错误导致CI/CD管道崩溃，这导致了早期检测并限制了影响。尽管如此，这是一个明确的提醒：如果你的资金存放在软件钱包或交易所，你距离失去一切只有一步之遥。供应链妥协仍然是强大的恶意软件交付途径，我们也看到更多针对性攻击的出现。”

–Charles Guillemet, Ledger CTO

Zhang警告说，ModStealer恶意软件对加密货币用户和平台构成直接威胁，并补充说，对于个人用户而言，私钥、助记词和交易所API密钥的泄露可能导致立即损失。他还指出，浏览器扩展钱包数据的大规模盗窃可能会引发大规模链上漏洞，削弱用户信任，并增加加密货币供应链的风险。 

新的网络漏洞针对加密货币钱包数据

Guillemet 发现 指出JavaScript生态系统遭到大规模供应链攻击的破坏，目标包括chalk、strip-ansi、color-convert和error-ex等库。受影响的软件包每周下载量超过十亿次，这对区块链生态系统构成了严重威胁。 

恶意软件充当加密货币剪贴板（crypto-clipper），这意味着它可以替换网络请求中的钱包地址，或通过MetaMask和其他钱包发起的交易进行修改。该攻击是通过一次微小的CI/CD管道构建失败发现的。研究人员后来发现，恶意软件使用了两种策略。第一种策略是被动地址交换，它监控出站流量请求，并将钱包地址替换为劫持者控制的地址。它使用Levenshtein距离算法，选择外观相似的地址，使得视觉上难以察觉变化。

攻击者使用的另一种方法是主动交易劫持，它在检测到加密货币钱包后，在内存中修改待处理交易，然后再转发给用户批准。这一诡计诱骗用户直接将转账签名给攻击者的钱包。

类似的事件 在 6 月报道 最近在Cryptopolitan上有所报道，ReversingLabs的研究揭示了另一种隐藏在以太坊智能合约中的恶意软件。该攻击通过npm软件包下载，包括colortoolv2和mimelib2，它们充当第二阶段代理，从以太坊区块链上获取恶意软件。 

ReversingLabs透露，恶意软件通过在以太坊智能合约中隐藏恶意URL来绕过安全扫描。它后来通过伪装成加密货币交易机器人的虚假GitHub存储库下载。该行动与Stargazer的Ghost Network有关，这是一个协调攻击系统，旨在提高恶意存储库的合法性。