ModStealer ที่มองไม่เห็นเจาะกระเป๋าเงินคริปโตบนเบราว์เซอร์

มัลแวร์สายพันธุ์ใหม่ที่ถูกระบุชื่อว่า ModStealer ได้กลายเป็นภัยคุกคามสำคัญต่อกระเป๋าเงินคริปโตเคอเรนซีบนเบราว์เซอร์ โดยใช้เทคนิคการปิดบังขั้นสูงเพื่อหลุดพ้นจากการป้องกันด้วยลายเซ็นของแอนตี้ไวรัส นักวิจัยด้านความปลอดภัยจาก Mosyle รายงานว่า ModStealer ดำเนินการโดยไม่ถูกตรวจพบเป็นเวลานานเกือบหนึ่งเดือนในขณะที่มุ่งเป้าไปที่ส่วนขยายกระเป๋าเงินในระบบปฏิบัติการหลัก ๆ เช่น Windows, Linux และ macOS

ช่องทางการแพร่กระจายหลักของ ModStealer คือโฆษณาการจ้างงานที่เป็นอันตรายซึ่งล่อให้นักพัฒนาดาวน์โหลด payload ที่ติดเชื้อ เมื่อถูกเปิดใช้งาน มัลแวร์จะใช้สคริปต์ NodeJS ที่ถูกปิดบังอย่างหนักเพื่อหลบเลี่ยงเครื่องมือแอนตี้ไวรัสแบบดั้งเดิมโดยซ่อนรูปแบบโค้ดที่สามารถจดจำได้ การทำงานเริ่มต้นด้วยขั้นตอนการแกะกล่องแบบไดนามิกที่สร้างโมดูลการส่งข้อมูลหลักขึ้นใหม่ในหน่วยความจำ ลดขนาดของข้อมูลบนดิสก์และสัญญาณบ่งชี้ทางนิติเวช

โค้ดมีคำสั่งที่ตั้งค่าไว้ล่วงหน้าเพื่อค้นหาและดึงข้อมูลรับรองจากส่วนขยายกระเป๋าเงิน 56 รายการที่แตกต่างกัน รวมถึงกระเป๋าเงินยอดนิยมที่รองรับ Bitcoin, Ethereum, Solana และบล็อกเชนหลักอื่น ๆ กุญแจส่วนตัว ฐานข้อมูลข้อมูลรับรอง และใบรับรองดิจิทัลถูกคัดลอกไปยังไดเรกทอรี staging บนเครื่องก่อนที่จะส่งข้อมูลไปยังเซิร์ฟเวอร์ควบคุมผ่านช่องทาง HTTPS ที่เข้ารหัส ฟังก์ชันการแฮ็กคลิปบอร์ดช่วยให้สามารถดักจับที่อยู่กระเป๋าเงินและเปลี่ยนเส้นทางการโอนสินทรัพย์ไปยังที่อยู่ที่ถูกควบคุมโดยผู้โจมตีในเวลาจริง

นอกจากการขโมยข้อมูลรับรองแล้ว ModStealer ยังรองรับโมดูลเสริมที่เป็นตัวเลือกสำหรับการสำรวจระบบ การจับภาพหน้าจอ และการรันโค้ดระยะไกล บน macOS การฝังมัลแวร์ใช้กลไก LaunchAgents เพื่อความคงทน ในขณะที่เวอร์ชัน Windows และ Linux ใช้งานงานตามกำหนดเวลาและ cron jobs ตามลำดับ สถาปัตยกรรมแบบโมดูลของมัลแวร์ทำให้อัฟฟิลิเอตสามารถปรับแต่งฟังก์ชันการทำงานตามสภาพแวดล้อมเป้าหมายและความสามารถของ payload ที่ต้องการ

นักวิเคราะห์ของ Mosyle จัดประเภท ModStealer เป็น Malware-as-a-Service หมายความว่าผู้ดำเนินการอัฟฟิลิเอตจ่ายค่าเข้าถึงโครงสร้างพื้นฐานสำหรับการสร้างและปรับใช้ ลดอุปสรรคในการเข้าถึงสำหรับผู้ร้ายที่มีทักษะด้านเทคนิคต่ำ การเพิ่มขึ้นของสายพันธุ์ infostealer ในปีนี้สูงขึ้น 28% เมื่อเทียบกับปี 2024 เน้นแนวโน้มที่เพิ่มขึ้นของมัลแวร์ที่กลายเป็นสินค้าโภคภัณฑ์ที่ถูกนำไปใช้กับเป้าหมายที่มีมูลค่าสูงในระบบนิเวศคริปโตเคอเรนซี

กลยุทธ์การบรรเทาความเสี่ยงที่ทีมด้านความปลอดภัยแนะนำ ได้แก่ การบังคับใช้นโยบายการกรองอีเมลและเว็บอย่างเข้มงวดเพื่อบล็อกเครือข่ายโฆษณาที่เป็นอันตราย การนำโซลูชันตรวจจับภัยคุกคามโดยพฤติกรรมมาใช้ และการปิดใช้งานการรันสคริปต์ NodeJS ที่ไม่น่าเชื่อถือแบบอัตโนมัติ ผู้ใช้กระเป๋าเงินบนเบราว์เซอร์ควรตรวจสอบความสมบูรณ์ของส่วนขยาย รักษาสำเนาสำรองของ seed phrase ที่เก็บแบบออฟไลน์ให้ทันสมัย และพิจารณาใช้กระเป๋าเงินฮาร์ดแวร์สำหรับเงินจำนวนมาก

การเฝ้าสังเกตการจราจรอย่างต่อเนื่องเพื่อหาการเชื่อมต่อขาออกที่ผิดปกติต่อโดเมนที่ไม่คุ้นเคยสามารถช่วยในการตรวจจับความพยายามในการส่งข้อมูลล่วงหน้าได้ตั้งแต่เนิ่น ๆ ความร่วมมือระหว่างนักพัฒนากระเป๋าเงิน ผู้จำหน่ายเบราว์เซอร์ และบริษัทด้านความปลอดภัยจะเป็นสิ่งสำคัญในการพัฒนาลายเซ็นและพฤติกรรมการตรวจจับที่สามารถขัดขวางชั้นการปิดบังของ ModStealer และป้องกันการบุกรุกกระเป๋าเงินเพิ่มเติม