Невидими ModStealer насочени към крипто портфейли в браузърите

Новооткрит зловреден софтуер на име ModStealer се превърна в значителна заплаха за криптовалутни портфейли, работещи в браузър, използвайки усъвършенствани техники за объркване, за да заобиколи антивирусните защити, базирани на подписи. Изследователи по сигурността от Mosyle съобщиха, че ModStealer е останал недетектиран почти месец, докато активно атакува разширения за портфейли в основни операционни системи, включително Windows, Linux и macOS.

Основният вектор на разпространение на ModStealer включва зловредни обяви за работа, които примамват разработчици да изтеглят заразени полезни натоварвания. След изпълнението си, зловредният софтуер използва силно объркани NodeJS скриптове, които избягват традиционните антивирусни двигатели чрез скриване на разпознаваеми кодови шаблони. Изпълнението започва с динамични рутинни за разопаковане, които реконструират основния модул за извличане на данни в паметта, минимизирайки следите на диска и криминалистичните индикатори за компрометиране.

Кодът включва предварително конфигурирани инструкции за търсене и извличане на идентификационни данни от 56 различни разширения на браузърни портфейли, включително популярни портфейли, поддържащи Bitcoin, Ethereum, Solana и други основни блокчейн вериги. Частни ключове, бази данни с идентификационни данни и цифрови сертификати се копират в локална временна директория, преди да бъдат извлечени до сървъри за управление и контрол чрез криптирани HTTPS канали. Функциите за прихващане на клипборда позволяват улавяне на адреси на портфейли, пренасочвайки трансферите на активи към адреси, контролирани от нападателите в реално време.

Освен кражбата на идентификационни данни, ModStealer поддържа опционални модули за системно разузнаване, заснемане на екрана и отдалечено изпълнение на код. На macOS имплантацията използва механизма LaunchAgents за постигане на устойчивост, докато версиите за Windows и Linux използват съответно планирани задачи и cron задачи. Модулната архитектура на зловредния софтуер позволява на партньорите да персонализират функционалността според целевата среда и желаните възможности на полезното натоварване.

Анализаторите от Mosyle класифицират ModStealer като Malware-as-a-Service, което означава, че операторите партньори плащат за достъп до инфраструктура за изграждане и разгръщане, намалявайки бариерата за навлизане за по-малко технически обучени злонамерени лица. Ръстът на вариантите на инфостийлъри тази година, с увеличение от 28% в сравнение с 2024 г., подчертава нарастващата тенденция за комодитизиране на зловреден софтуер, използван срещу високостойностни цели в криптовалутната екосистема.

Препоръчителните стратегии за смекчаване, предложени от екипите по сигурността, включват налагане на строги политики за филтриране на имейли и уеб съдържание за блокиране на зловредни рекламни мрежи, внедряване на решения за откриване на заплахи, базирани на поведение, и деактивиране на автоматичното изпълнение на ненадеждни NodeJS скриптове. Потребителите на браузърни портфейли се съветват да проверяват интегритета на разширенията, да поддържат актуални архивни копия на seed фразите офлайн и да обмислят използването на хардуерни портфейли за активи със значителна стойност.

Продължаващото наблюдение на трафикните модели за аномални изходящи връзки към непознати домейни може да помогне за ранно откриване на опити за извличане на данни. Координацията между разработчиците на портфейли, доставчиците на браузъри и фирмите за сигурност ще бъде от съществено значение за разработването на базирани на подписи и поведението методи за улавяне на обфускационните слоеве на ModStealer и предотвратяване на по-нататъшно компрометиране на портфейли.