Opdagelse af ModStealer Malware
En ny malware-stamme, der kan undgå antiviruskontroller og stjæle data fra kryptovaluta-tegnebøger på Windows, Linux og macOS systemer, blev opdaget torsdag. Den kaldes ModStealer og havde været uset af de største antivirusmotorer i næsten en måned på tidspunktet for offentliggørelsen. Dens pakke blev distribueret gennem falske jobrekrutteringsannoncer, der målrettede udviklere. Offentliggørelsen blev foretaget af sikkerhedsfirmaet Mosyle, ifølge en første rapport fra 9to5Mac.
Distribution og Taktik
Distributionen gennem falske jobrekrutteringsannoncer var en bevidst taktik, da den var designet til at nå udviklere, der sandsynligvis allerede brugte eller havde Node.js-miljøer installeret. ModStealer “undgår opdagelse af mainstream antivirusløsninger og udgør betydelige risici for det bredere digitale aktivøkosystem,” sagde Shān Zhang, Chief Information Security Officer hos blockchain-sikkerhedsfirmaet Slowmist, til Decrypt.
Funktionalitet og Infektion
Når malware’en er udført, scanner den efter browser-baserede kryptovaluta-tegnebøger, systemlegitimationsoplysninger og digitale certifikater. Den “exfiltrerer dataene til fjerntliggende C2-servere,” forklarede Zhang. En C2-server er et centraliseret system, der bruges af cyberkriminelle til at administrere og kontrollere kompromitterede enheder i et netværk.
På Apple-hardware, der kører macOS, opsætter malware’en sig selv gennem en “persistence method” for at køre automatisk hver gang computeren starter ved at forklæde sig som et baggrunds-hjælpeprogram. Opsætningen holder den kørende stille uden at brugeren bemærker det. Tegn på infektion inkluderer en hemmelig fil kaldet .sysupdater.dat og forbindelser til en mistænkelig server.
“Selvom de er almindelige isoleret set, gør disse persistence-metoder kombineret med stærk obfuskation ModStealer modstandsdygtig over for signaturbaserede sikkerhedsværktøjer,” sagde Zhang.
Risici for Kryptovaluta-Brugere
Opdagelsen af ModStealer kommer lige efter en relateret advarsel fra Ledger CTO Charles Guillemet, der offentliggjorde tirsdag, at angribere havde kompromitteret en NPM-udviklerkonto og forsøgt at sprede ondsindet kode. Guillemet bemærkede, at de kompromitterede pakker var blevet tilsluttet Ethereum, Solana og andre kæder.
“Hvis dine midler sidder i en software-tegnebøger eller på en børs, er du kun en kodeudførelse væk fra at miste alt,” tweetede Guillemet.
Da han blev spurgt om den nye malwares mulige indvirkning, advarede Zhang om, at ModStealer udgør en “direkte trussel” mod kryptovaluta-brugere og platforme. For slutbrugere kan “private nøgler, seed-sætninger og børs API-nøgler” blive kompromitteret, hvilket resulterer i direkte tab af aktiver.
Zhang tilføjede, at for kryptovaluta-industrien kan “masse tyveri af data fra browserudvidelsestegnebøger” udløse storskala on-chain udnyttelser, hvilket underminerer tilliden og forstærker forsyningskæderisici.
