„ModStealer” – złośliwe oprogramowanie atakuje portfele kryptowalutowe, unika wykrycia przez antywirusy

ModStealer to nowe wieloplatformowe złośliwe oprogramowanie, które unika narzędzi antywirusowych, rozprzestrzenia się poprzez fałszywe ogłoszenia o pracę i kradnie dane do portfeli kryptowalutowych.

Firma zajmująca się cyberbezpieczeństwem Mosyle wykryła niebezpieczne nowe oprogramowanie szpiegujące, które kradnie wrażliwe informacje, omijając standardowe systemy antywirusowe. Społeczność zajmująca się bezpieczeństwem odkryła złośliwe oprogramowanie ModStealer na VirusTotal prawie miesiąc temu, jednak do tej pory nie zostało zauważone przez główne silniki bezpieczeństwa.

Odkrycia, które po raz pierwszy szczegółowo opisał 9to5Mac, pokazują, jak działa ModStealer na wielu systemach operacyjnych. Malware istnieje jako narzędzie wieloplatformowe, które zostało stworzone specjalnie do kradzieży danych użytkowników. Dystrybucja malware odbywa się za pośrednictwem fałszywych ogłoszeń o rekrutacji, które kierowane są do programistów.

Ukryty plik JavaScript NodeJS działa na komputerach ofiar, nie wywołując żadnych alertów od typowego oprogramowania antywirusowego.

Głównym celem malware’u są dane osobowe. Badacze znaleźli kod programowania, który atakuje portfele kryptowalut, dane do logowania, szczegóły konfiguracji i certyfikaty.

Malware zawiera zaprogramowane ataki przeciwko 56 rozszerzeniom portfeli przeglądarkowych, w tym Safari, co umożliwia hakerom kradzież prywatnych kluczy i szczegółów konta.

ModStealer jest również zdolny do przechwycenia schowka, zrzutu ekranu, a nawet zdalnego wykonywania kodu. „Pierwsze dwa są złe, ale ten ostatni może dać atakującym prawie pełną kontrolę nad zainfekowanymi urządzeniami,” wyjaśnił Mosyle, jak podaje 9to5Mac.

Na macOS, złośliwe oprogramowanie wykorzystuje narzędzie launchctl firmy Apple do wbudowania się jako LaunchAgent, co daje mu trwałość na zainfekowanych maszynach. Malware działa w trybie ukrytym, zbierając dane systemowe, które następnie przesyła do serwera fińskiego podłączonego do infrastruktury niemieckiej. W ten sposób ukrywa rzeczywiste miejsce atakujących.

9to5Mac informuje, że Mosyle uważa, że ModStealer jest częścią rosnącego rynku Malware-as-a-Service, gdzie profesjonalni hakerzy sprzedają gotowe malware mniej wykwalifikowanym przestępcom.

„Dla profesjonalistów z dziedziny bezpieczeństwa, deweloperów i użytkowników końcowych jest to surowe przypomnienie, że ochrona oparta jedynie na sygnaturach nie jest wystarczająca,” ostrzega Mosyle, jak podaje 9to5Mac.