6
网络安全研究人员分享了针对以太坊、XRP 和 Solana 的恶意软件活动的详细信息。
此次攻击主要通过破坏节点包管理器 (NPM) 包来针对 Atomic 和 Exodus 钱包用户。
然后，它会在钱包所有者不知情的情况下将交易重定向到攻击者控制的地址。
攻击始于开发人员在不知情的情况下在其项目中安装被木马感染的 npm 软件包。研究人员发现“pdf-to-office”是一个看似合法但实际隐藏恶意代码的受感染软件包。
一旦安装，该软件包就会扫描系统中已安装的加密货币钱包，并注入拦截交易的恶意代码。
研究人员在报告中指出：“此次最新活动表明，通过软件供应链攻击针对加密货币用户的攻击有所升级。”
该恶意软件可以重定向多种加密货币之间的交易，包括以太坊（ETH）、基于 Tron 的 USDT、XRP（XRP）和 Solana（SOL）。
ReversingLabs 通过分析可疑的 npm 包识别出了该攻击活动，并检测到了多项恶意行为指标，包括可疑的 URL 连接以及与先前识别的威胁相匹配的代码模式。他们的技术检查揭示了该攻击活动包含多个阶段，并使用高级混淆技术来规避检测。
当恶意程序包执行其针对系统上安装的钱包软件的有效载荷时，感染过程就开始了。该代码专门在特定路径中搜索应用程序文件。
Once located, the malware extracts the application archive. This process is executed through code that creates temporary directories, extracts the application files, injects the malicious code, and then repacks everything to appear normal.
The malware modifies transaction handling code to replace legitimate wallet addresses with attacker-controlled ones using base64 encoding.
例如，当用户尝试发送 ETH 时，代码会将收件人地址替换为从 base64 字符串解码的攻击者地址。
这种恶意软件的影响可能是灾难性的，因为当资金被发送给攻击者时，交易在钱包界面上看起来很正常。
用户无法直观地看到他们的交易已被泄露，直到他们验证区块链交易并发现资金流向了意想不到的地址。
浏览量9
浏览量6
浏览量6
浏览量5
浏览量7
