威胁行为者正在向合法的加密货币项目注入恶意代码

恶意行为者现在正在向合法项目注入恶意代码，以窃取不知情的用户的数字资产。据报道，网络安全研究人员发现了一场针对加密货币用户的复杂恶意软件活动，该活动通过受损的npm软件包进行攻击。

根据报告，该攻击专门针对Atomic和Exodus钱包的用户，攻击者通过注入恶意代码劫持交易，将资金重定向到攻击者的钱包。最新的活动符合针对加密货币用户的软件供应链攻击的持续攻击链。

攻击的来源通常来自开发人员，其中大多数人在不知情的情况下在其项目中安装了受损的npm软件包。此次活动中确定的一个软件包是“pdf-to-office”，它看起来正常且合法，但包含隐藏的恶意代码。安装后，该软件包会扫描用户设备上安装的加密货币钱包，并注入能够拦截和重定向交易的恶意代码，而用户对此毫不知情。

网络安全研究人员标记针对加密货币钱包的恶意代码

此次攻击对受害者的影响非常严重，恶意代码能够无声地将加密货币交易重定向到攻击者控制的钱包。这些攻击适用于多种数字资产，包括以太坊、Solana、XRP和基于Tron的USDT。恶意软件有效地执行了此攻击，在用户想要发送资金的那一刻，将钱包地址从合法地址切换为攻击者控制的地址。

恶意活动是由 ReversingLabs 研究人员通过分析可疑的npm软件包发现的。研究人员提到，存在许多恶意行为的明显迹象，包括可疑的URL连接和与之前发现的恶意软件包相似的代码模式。他们提到，本周已有多个活动试图使用这种恶意代码。他们认为攻击者正在使用这种技术来维持持久性并逃避检测。

“最近，4月1日发起的一次活动向npm软件包管理器发布了一个名为pdf-to-office的软件包，该包伪装成用于将PDF格式文件转换为Microsoft Office文档的库。执行时，该软件包将恶意代码注入合法本地安装的加密货币钱包软件Atomic Wallet和Exodus中，在此过程中覆盖了现有的非恶意文件，”ReversingLabs表示。

感染机制和代码注入

根据技术检查，该攻击是多阶段的，始于用户安装软件包时。其余部分发生在用户进行钱包识别、文件提取、恶意代码注入，最终进行交易劫持时。攻击者还使用混淆技术来隐藏他们的意图，使得传统工具难以发现，等到用户发现时已经太晚了。

安装后，当恶意软件包执行针对已安装钱包软件的有效载荷时，感染开始。代码识别钱包应用程序文件的位置，然后针对Electron应用程序使用的ASAR软件包格式。代码专门搜索诸如“AppData/Local/Programs/atomic/resources/app.asar”之类路径中的文件。一旦找到，恶意软件就会提取应用程序存档，注入其恶意代码，然后重建存档。

注入专门针对钱包软件内部的JavaScript文件，特别是像“vendors.64b69c3b00e2a7914733.js”这样的供应商文件。然后，恶意软件修改交易处理代码，使用base64编码将真实钱包地址替换为属于攻击者的地址。例如，当用户尝试发送以太坊时，代码会将收件人地址替换为解码后的地址。

感染完成后，恶意软件通过命令和控制服务器进行通信，发送包括用户主目录路径在内的安装状态信息。这使得 攻击者 能够跟踪成功的感染，并可能收集有关受损系统的信息。据ReversingLabs称，恶意路径也显示出持久性的证据，即使软件包已被删除，系统上的Web3钱包仍然受到感染。