Нов зловреден софтуер, специализиран в кражба на информация, ModStealer , навлезе в разговора за киберсигурност поради способността си да атакува потребители на криптовалути в macOS, Windows и Linux, без да буди подозрение на пръв поглед.
Фирмата за сигурност Mosyle го идентифицира и потвърди, че кодът е останал почти месец незасегнат от основните антивирусни системи, след като е бил изпратен до VirusTotal, период, който е твърде дълъг и показва ясно, че защитите, базирани на сигнатури, са недостатъчни.
Какво е ModStealer и защо е проблем?
ModStealer е крадец на данни , предназначен да изпразва дигитални портфейли и да прихваща идентификационни данни, сертификати и конфигурационни файлове. Основният му компонент е силно обфускиран JavaScript/NodeJS скрипт , което затруднява антивирусния софтуер да идентифицира известни модели.
Изследователи откриха модел на атака, насочен към 56 разширения за портфейли, базирани на браузър, включително тези за Safari и Chromium , насочени към извличане на частни ключове и друга чувствителна информация, решаваща за достъп до средства.
Как се разпространява ModStealer: Обявите за работа като примамки
Специалистите по оперативна сигурност препоръчват проверка на легитимността на вербувателите и домейните , изискване задачите да се споделят в публични хранилища и отваряне на всякакви съмнителни материали в еднократна виртуална машина , без портфейли или идентификационни данни.
Технически умения и постоянство
След като се изпълни, ModStealer позволява заснемане на клипборда , заснемане на екранни снимки и дистанционно изпълнение на команди , което дава на операторите много широк контрол върху компрометирания компютър.
В macOS, той осигурява своята устойчивост, като злоупотребява с launchctl , за да се регистрира като LaunchAgent и да работи във фонов режим след всяко рестартиране. Сред документираните индикатори за компрометиране е скрит файл, наречен .sysupdater.dat.
Според мрежовия анализ, изтичането на данни е насочено към сървър за командване и контрол (C2), разположен във Финландия, с инфраструктура, пренасочена през Германия, за да се прикрие истинският произход.
Моделът на избягване и MaaS
Интензивното използване на обфускация позволява на зловредния софтуер да заобикаля защитите, базирани на сигнатури , което обяснява неговата невидимост в продължение на седмици върху традиционните скенери.
Освен това, ModStealer се вписва в модела „Malware-as-a-Service“ (MaaS) : готови за употреба пакети, които могат да внедрят партньори с малко технически познания, което улеснява разпространението на крадци на информация през последните месеци.
Скорошно въздействие и контекст в крипто екосистемата
Откритието съвпада с инциденти в екосистемата за разработка, като например злонамерени публикации в NPM (напр. colortoolsv2 или mimelib2), които се опитват да заменят адресите на получателите в транзакции в Ethereum, Solana и други вериги.
Сигналите, издадени от служители по сигурността в индустрията, помогнаха за ограничаване на щетите: докладваното пряко въздействие беше ограничено (около 1.000 долара) , а екипи като Uniswap, MetaMask, Aave, Sui, Trezor и Lido потвърдиха, че не са засегнати.
Досега няма публично потвърдени жертви на ModStealer, но комбинацията от скритост, постоянство и междуплатформен обхват увеличава риска за потребителите и платформите, които разчитат на разширения на браузъра.
Практически мерки за намаляване на риска
- Хардуерни портфейли винаги когато е възможно; проверете адреса на местоназначението на екрана (поне първите и последните шест символа).
- Използвай специален профил в браузъра или компютъра за портфейла и взаимодейства само с надеждни разширения.
- Запази офлайн начални фрази, активирайте MFA и използвайте FIDO2 ключове за достъп когато е в наличност.
- Строго отделете средата за разработка (кутия за разработчици) на средата на портфейла (кутия за портфейл); отваря тестове в ВМ за еднократна употреба.
- Проверете рекрутери и домейниБъдете внимателни с файлове/скриптове, изпратени през непроверени канали, особено ако те разчитат на Node.js.
- прилага непрекъснат мониторинг и разпознаване въз основа на поведение; поддържайте системата, браузърите и разширенията винаги актуализиран.
Всичко подсказва, че ModStealer се възползва максимално от тенденцията MaaS и повърхността за атака на браузърите: с техники за избягване и дискретна верига за изпълнение, той принуждава потребителите да надхвърлят традиционния антивирусен софтуер и да засилят ежедневните си навици и контрол.
