Công ty bảo mật Mosyle đã xác định ModStealer, một phần mềm độc hại đa nền tảng mới có khả năng vượt qua phần mềm diệt virus để đánh cắp tài sản từ các ví tiền điện tử dựa trên trình duyệt trên các hệ thống Windows, Linux và macOS.

Tóm tắt điều hành

Mosyle, một công ty hàng đầu về quản lý và bảo mật thiết bị Apple, đã xác định ModStealer, một phần mềm độc hại đánh cắp thông tin đa nền tảng mới. ModStealer nhắm mục tiêu vào các môi trường macOS, Windows và Linux, được thiết kế đặc biệt để vượt qua khả năng phát hiện chống vi-rút truyền thống. Mục tiêu chính của nó là đánh cắp dữ liệu nhạy cảm, tập trung vào ví tiền điện tử, tệp thông tin đăng nhập, chi tiết cấu hình và chứng chỉ số. Phần mềm độc hại này lây lan thông qua quảng cáo việc làm độc hại, chủ yếu nhắm mục tiêu vào các nhà phát triển, những người thường sở hữu tài sản kỹ thuật số có giá trị cao.

Chi tiết sự kiện

ModStealer đã không bị phát hiện bởi các công cụ chống vi-rút lớn trong gần một tháng kể từ khi xuất hiện trên VirusTotal. Phần mềm độc hại được phát tán thông qua quảng cáo tuyển dụng độc hại nhắm mục tiêu vào các nhà phát triển, tận dụng việc họ thường sử dụng môi trường Node.js. Nó hoạt động bằng cách sử dụng một tệp JavaScript bị xáo trộn nghiêm trọng được viết bằng NodeJS, góp phần vào việc tránh các biện pháp phòng thủ dựa trên chữ ký. Phân tích của Mosyle tiết lộ mã được tải sẵn có khả năng trích xuất khóa riêng và thông tin tài khoản nhạy cảm từ 56 tiện ích mở rộng ví trình duyệt khác nhau, bao gồm cả Safari. Ngoài việc đánh cắp tiền điện tử, ModStealer còn có các tính năng ghi lại clipboard, ghi lại màn hình và thực thi mã từ xa, cấp cho kẻ tấn công quyền kiểm soát rộng rãi đối với các hệ thống bị nhiễm. Trên macOS, nó đảm bảo tính dai dẳng bằng cách lạm dụng công cụ launchctl của Apple, tự nhúng mình làm LaunchAgent để liên tục giám sát hoạt động và truyền dữ liệu ra máy chủ từ xa. Mosyle cho rằng ModStealer phù hợp với hồ sơ của Phần mềm độc hại dưới dạng dịch vụ (MaaS). Shān Zhang, Giám đốc An ninh Thông tin tại công ty bảo mật blockchain Slowmist, đã mô tả ModStealer là độc đáo do nó có "hỗ trợ đa nền tảng và chuỗi thực thi 'phát hiện bằng không' lén lút."

Tác động thị trường

Việc phát hiện ModStealer làm tăng nguy cơ bảo mật trên toàn hệ sinh thái tài sản kỹ thuật số, đặc biệt đối với người dùng ví tiền điện tử dựa trên trình duyệt. Khả năng không bị phát hiện của phần mềm độc hại này bởi các giải pháp chống vi-rút chính thống nhấn mạnh những hạn chế của các biện pháp bảo vệ dựa trên chữ ký và đòi hỏi các biện pháp phòng thủ hành vi tiên tiến. Đối với người dùng cá nhân, khóa riêng, cụm từ hạt giống và khóa API trao đổi có nguy cơ bị xâm phạm, có khả năng dẫn đến mất tài sản trực tiếp. Đối với ngành công nghiệp tiền điện tử rộng lớn hơn, việc đánh cắp hàng loạt dữ liệu ví tiện ích mở rộng trình duyệt có thể gây ra các cuộc khai thác chuỗi khối quy mô lớn, làm xói mòn lòng tin và khuếch đại rủi ro chuỗi cung ứng. Việc nhắm mục tiêu vào các nhà phát triển thông qua quảng cáo việc làm lừa đảo làm nổi bật một lỗ hổng nghiêm trọng trong chuỗi cung ứng phần mềm, một vectơ đã từng bị khai thác trong các cuộc tấn công đáng kể như tấn công chuỗi cung ứng NPM, đã ảnh hưởng đến các gói có hơn 2 tỷ lượt tải xuống hàng tuần. Sự cố trong quá khứ này cũng chứng minh cách mã độc có thể truy cập vào cùng một ngữ cảnh thực thi JavaScript như ví Web3 trong môi trường trình duyệt, tạo điều kiện cho việc thao túng giao dịch tinh vi.

Bình luận của chuyên gia

Shān Zhang của Slowmist tuyên bố rằng ModStealer "gây ra rủi ro đáng kể cho hệ sinh thái tài sản kỹ thuật số rộng lớn hơn," nhấn mạnh "hỗ trợ đa nền tảng và chuỗi thực thi 'phát hiện bằng không' lén lút." Zhang tiếp tục cảnh báo rằng đối với người dùng cuối, "khóa riêng, cụm từ hạt giống và khóa API trao đổi có thể bị xâm phạm, dẫn đến mất tài sản trực tiếp." Ông nói thêm rằng đối với ngành công nghiệp tiền điện tử, "việc đánh cắp hàng loạt dữ liệu ví tiện ích mở rộng trình duyệt có thể gây ra các cuộc khai thác chuỗi khối quy mô lớn, làm xói mòn lòng tin và khuếch đại rủi ro chuỗi cung ứng." Mosyle nhấn mạnh sự không đủ của các biện pháp bảo vệ dựa trên chữ ký đơn thuần, ủng hộ giám sát liên tục, các biện pháp phòng thủ dựa trên hành vi và nhận thức về các mối đe dọa mới nổi.

Bối cảnh rộng hơn

Tấn công bằng cách sử dụng các lời mời làm việc giả mạo để nhắm mục tiêu vào các nhà phát triển, lặp lại các chiến thuật được sử dụng bởi các tác nhân đe dọa có động cơ tài chính như EncryptHub (hay còn gọi là LARVA-208 và Water Gamayun), những người trước đây đã nhắm mục tiêu vào các nhà phát triển Web3 bằng phần mềm độc hại đánh cắp thông tin như Fickle thông qua các nền tảng AI lừa đảo. Các nhóm này nhắm mục tiêu vào các nhà phát triển Web3 do họ có quyền truy cập vào ví tiền điện tử, kho lưu trữ hợp đồng thông minh và môi trường thử nghiệm nhạy cảm, thường hoạt động trên nhiều dự án phi tập trung mà không có các kiểm soát bảo mật doanh nghiệp truyền thống. Sự cố này làm nổi bật sự tinh vi ngày càng tăng của các khả năng đánh cắp tiền điện tử, kết hợp các kỹ thuật xáo trộn nâng cao, hỗ trợ chuỗi chéo và thuật toán thay thế địa chỉ thông minh. Bối cảnh này nhấn mạnh tầm quan trọng thiết yếu của nhận thức bảo mật Web3 và nhu cầu về các biện pháp bảo mật mạnh mẽ, bao gồm bảo vệ chống lừa đảo chủ động và các công cụ phân tích giao dịch như Wallet Guard, khi tương tác với các ứng dụng tiền điện tử, đặc biệt khi tài chính phi tập trung tiếp tục phát triển.