کیف پول‌های Atomic و Exodus هدف بدافزار NPM برای سرقت رمزارز هنگام انتقال
براساس گزارش پايگاه خبري سروش امنيت ، شرکت ReversingLabs یک پکیج مخرب در npm را افشا کرده است که کیف پول‌های Atomic و Exodus را هدف قرار می‌دهد و با ایجاد تغییرات مخفیانه در نرم‌افزار، انتقال‌های رمزارزی را به طور پنهانی ربوده و تغییر مسیر می‌دهد.
به گزارش خبرنگار پايگاه خبري سروش امنيت به نقل از پلیس فتا ،خلاصه: شرکت ReversingLabs یک پکیج مخرب در npm به نام “pdf-to-office” را شناسایی کرده که کاربران کیف پول‌های رمزارزی Atomic و Exodus را هدف قرار می‌دهد. این بدافزار با وصله زنی (patching) مخفیانه نرم‌افزارهای نصب شده محلی، تراکنش‌ها را ربوده و آدرس کیف پول گیرنده را تغییر می‌دهد. این بدافزار حتی پس از حذف نیز باقی می‌ماند و به فعالیت خود ادامه می‌دهد.
شرکت امنیت سایبری ReversingLabs (RL) تاکتیک جدیدی را کشف کرده که مهاجمان سایبری برای هدف قرار دادن کاربران رمزارز به‌کار می‌برند.
بر اساس جدیدترین تحقیقات این شرکت که با وب‌‌سایت Hackread.com به اشتراک گذاشته شده، مجرمان سایبری از شبکه npm (مدیر پکیج Node) برای تزریق کدهای مخرب به نرم‌افزارهای کیف پول رمزارزی نصب شده بر روی سیستم‌های محلی استفاده می‌کنند. این حملات به طور خاص کاربران کیف پول‌های Atomic و Exodus را هدف گرفته‌اند.
این حمله شامل وصله زنی (پچ کردن) مخرب فایل‌های نرم‌افزاری قانونی است که به مهاجمان امکان می‌دهد تا با تعویض مخفیانه آدرس‌های کیف پول گیرنده، انتقال‌های رمزارزی را رهگیری و سرقت کنند.
پکیج جعلی و تزریق کد مخرب:
محققان ReversingLabs یک پکیج مخرب در npm با نام “pdf-to-office” را کشف کردند که به صورت جعلی به عنوان یک ابزار تبدیل فایل‌های PDF به اسناد Microsoft Office معرفی شده بود. اما این پکیج پس از اجرا، یک کد مخرب را پیاده‌‌سازی می‌کرد که فایل‌های کلیدی موجود در پوشه‌های نصب کیف پول‌های Atomic و Exodus را تغییر می‌داد.
بدافزار با جایگزینی فایل‌های قانونی با نسخه‌های تروجان‌شده، به طور مخفیانه آدرس مقصد تراکنش‌های رمزارزی خروجی را تغییر می‌دهد. این روش به مهاجمان اجازه می‌دهد برای مدت طولانی شناسایی نشوند، چرا که عملکرد اصلی کیف پول برای کاربر بدون تغییر به نظر می‌رسد.
پلتفرم خودکار Spectra Assure متعلق به ReversingLabs این پکیج را به‌عنوان مشکوک شناسایی کرد، زیرا رفتارهایی از خود نشان می‌داد که با کمپین‌های بدافزاری قبلی مبتنی بر npm مطابقت داشت. همچنین، یک فایل جاوااسکریپت مبهم سازی‌شده (Obfuscated) در داخل این پکیج پیدا شد که نیت مخرب آن را نشان می‌داد.
کد مخرب فایل “atomic/resources/app.asar” را در مسیر نصب کیف پول Atomic و فایل “src/app/ui/index.js” را در کیف پول Exodus هدف قرار داده بود.
لوسیا والانتیچ (Lucija Valentić)، محقق تهدیدات نرم‌افزاری در ReversingLabs، در پستی نوشت:
«کیف پول‌های Atomic تنها هدف این پکیج مخرب نبودند. RL همچنین یک کد مخرب را شناسایی کرد که تلاش داشت فایلی تروجان شده را در یک نسخه قانونی و نصب‌شده محلی از کیف پول Exodus تزریق کند.»
مهاجمان نسخه‌های خاصی از کیف پول Atomic (نسخه‌های 2.91.5 و 2.90.6) را هدف قرار داده بودند، که نشان از پیچیدگی و دقت در هدف گیری دارد. فایل‌های مخرب با نام‌گذاری دقیق تهیه شده بودند تا بدون توجه به نسخه نصب‌شده، فایل صحیح را بازنویسی کنند.
این محقق همچنین توضیح داد:
«ما همچنین شواهدی از تلاش مهاجمان برای پنهان‌سازی ردپاهای خود و جلوگیری از پاسخ به حادثه یا حتی استخراج بیشتر اطلاعات یافتیم.»
________________________________________
پایداری و تأثیرات:
یکی از جنبه‌های نگران‌کننده این کمپین، پایداری آن است. تحقیقات نشان می‌دهد حتی اگر پکیج مخرب “pdf-to-office” از سیستم قربانی حذف شود، نرم‌افزار کیف پول رمزارزی که آلوده شده، همچنان به فعالیت مخرب خود ادامه می‌دهد.
علاوه بر این، فایل‌های تروجان شده در کیف پول‌های Atomic و Exodus به فعالیت خود ادامه داده و به صورت مخفیانه وجوه را به کیف پول Web3 مهاجمان منتقل می‌کنند. تنها راه مؤثر برای حذف تهدید، پاک‌سازی کامل و نصب مجدد نرم‌افزار کیف پول آسیب دیده است.
خبر خوب اینکه نصب‌کننده‌های رسمی کیف پول‌های Atomic و Exodus آلوده نشده‌اند، اما آلودگی پس از نصب و اجرای پکیج مخرب “pdf-to-office” رخ می‌دهد.
شایان ذکر است این کمپین شباهت زیادی با یک حمله قبلی دارد که RL در اواخر مارس گزارش داده بود، که در آن از دو پکیج مخرب npm به نام‌های “ethers-provider2” و “ethers-providerz” استفاده شده بود تا بار مخربی را تحویل دهد که پکیج قانونی “ethers” را تغییر داده و برای ایجاد reverse shell مورد استفاده قرار می‌گرفت.
در نتیجه، بخش رمزارزها با تهدیدات فزاینده‌ای از سوی حملات زنجیره تأمین نرم‌افزار روبرو است. این حملات روز به روز پیچیده‌‌تر و پرتکرارتر می‌شوند و نیازمند هوشیاری بیشتر از سوی تولیدکنندگان نرم‌افزار و سازمان‌های استفاده کننده نهایی هستند.
[author title=”نويسنده” image=”https://soroosheamniyat.ir/wp-content/uploads/2025/03/68ce8398-24e3-40b3-8f1a-cd664029e334.png”]مسعود اسدپور کارشناس امنيت وخبرنگار پايگاه خبري سروش امنيت[/author]
منبع :
پلیس فتا
