- 黑客正利用Solana的备忘录字段运行隐蔽恶意软件，窃取加密钱包数据。
- 该攻击分为三个阶段，始于恶意软件包的安装。
- 该恶意软件针对浏览器扩展钱包和硬件钱包，并能窃取浏览器数据。
黑客正远离普通服务器，转而使用去中心化系统来攻击开发人员并窃取他们的加密货币资金。他们正在用去中心化选项完全取代传统的命令和控制（C2）服务器。
在这次攻击中，恶意软件滥用了Solana区块链。它使用Solana交易的备忘录字段运行隐身恶意软件，窃取加密货币钱包数据，甚至硬件钱包恢复短语。
备忘录字段最初是为简单的交易备注设计的，但攻击者现在将其用作隐藏通信层。这将公共区块链功能变成了恶意软件控制的隐蔽通道。
像Solana这样的去中心化备忘录是公开且永久的，任何单一方都无法将其删除。此外，攻击者可以在不更改恶意软件的情况下更新指令。
该活动被认为是GlassWorm恶意软件的新版本，该恶意软件自2022年至少以来一直活跃。
Solana备忘录充当死信箱解析器
根据Aikido的安全研究人员，攻击分为三个阶段或三个有效载荷。第一阶段/有效载荷只是一个入口点。当开发人员从npm、PyPI、GitHub或Open VSX市场等开源存储库安装恶意软件包时，攻击开始。
然后，恶意软件检查系统区域设置是否为俄语，如果是，则不会继续攻击。这是因为攻击者可能位于俄罗斯，不想被当局抓获。安装后，恶意软件使用Solana区块链获取攻击者的命令和控制（C2）服务器IP地址。它在Solana上寻找包含C2服务器IP地址的特定交易，该IP地址位于备忘录字段中。
然后，恶意软件连接到C2服务器并开始攻击的第二阶段。在此阶段，恶意软件寻找加密货币数据，如助记词、私钥，甚至钱包的截图。它针对浏览器扩展钱包，如MetaMask、Phantom、Coinbase、Exodus、Binance、Ronin、Keplr等。
恶意软件还寻找浏览器数据，如登录会话、会话令牌和云访问权限。这意味着它可以访问中心化交易所账户、npm、GitHub和AWS账户。
收集数据后，恶意软件将其压缩为ZIP文件，并发送给攻击者的服务器。
通过钓鱼攻击针对硬件钱包
最后一个有效载荷分为两部分。第一部分是.NET二进制文件，它寻找像Ledger和Trezor这样的硬件钱包。如果找到，它会显示一个虚假的错误消息，诱骗用户输入其恢复短语。
第二部分是基于WebSocket的JavaScript RAT（远程访问特洛伊木马），它窃取浏览器数据。它还安装了一个虚假的Chrome扩展程序，监控特定网站（如交易所）并实时窃取Cookie。它通过Google日历事件作为死信箱解析器下载。这种方法允许攻击者隐藏真实服务器，绕过安全过滤器，并充当间接交付层。
与仅窃取浏览器数据的第二阶段不同，这个RAT具有实时控制权。它保持活动状态并监控浏览器。它捕获新Cookie，跟踪活动会话（如已登录的交易所账户），记录击键，并截取屏幕截图。此外，它允许攻击者在受害者的机器上运行命令。
很难删除GlassWorm。恶意软件可以重新下载自己，并且可以 survive 重启。它还使用DHT（分布式哈希表）查找和Solana备忘录等备用方法来查找控制服务器。
由于没有中央服务器，且数据在多台计算机之间共享，防御者很难在网络级别阻止攻击。
如果您正在阅读这篇文章，说明您已经领先一步。请继续通过我们的通讯保持关注。
免责声明。 本文提供的信息不构成交易建议。 Cryptopolitan.com 对于基于本页信息进行的任何投资，我们不承担任何责任。我们强烈建议在进行任何投资决策之前，进行独立研究或咨询合格的专业人士。
Randa Moses
Randa Moses 是 Cryptopolitan 的编辑兼记者，专注于科技、人工智能、机器人技术、加密货币、诈骗及黑客攻击等领域的报道。自 2017 年以来，她一直活跃于加密货币领域，曾担任 Forward Protocol、AmaZix 和 Cryptosomniac 等公司的职务。Randa 拥有布拉德福德大学电气工程与电子工程学位。
