Alert w Solanie: złośliwe oprogramowanie wykorzystuje sieć blockchain do ukrywania ataków

W najnowszym raporcie ostrzega się, że złośliwe oprogramowanie o nazwie GlassWorm wykorzystuje wydajność sieci Solana do tworzenia niezmiennych i tanich kanałów poleceń i kontroli.

Wysokowydajna architektura sieci Solana przekształciła krajobraz zdecentralizowanych finansów, ale jej efektywność przyciągnęła również zainteresowanie zaawansowanych aktorów zagrożeń. 

Odkrycie kampanii Szklany Robak przez analityków cyberbezpieczeństwa Bezpieczeństwo AikidoTo kamień milowy w cyberbezpieczeństwie: to jeden z pierwszych udokumentowanych przypadków, w których natywne funkcje publicznego blockchaina zostały wykorzystane jako „system skrytki” dla złośliwego oprogramowania. 

W przeciwieństwie do tradycyjnych ataków, których celem jest naruszenie protokołu, GlassWorm wykorzystuje solidność i niezmienność Solany jako warstwy transportowej dla instrukcji poleceń i kontroli (C2). Mówiąc prościej, sieć Solana Nie doszło do ataku hakerskiego ani naruszenia podstawowych zabezpieczeń.W rzeczywistości cyberprzestępcy wykorzystują jego cechy — niskie koszty, dużą szybkość i fakt, że informacji nie można ocenzurować ani usunąć — aby ukryć swoje wirusy.

Cyberprzestępcy odkryli, że szybkość potwierdzania i odporność blockchaina na cenzurę to idealne środowisko do wdrażania infrastruktury złośliwego oprogramowania, której praktycznie nie da się usunąć przy użyciu konwencjonalnych metod zabezpieczeń komputerowych.

W jaki sposób złośliwe oprogramowanie wykorzystuje technologię blockchain, aby pozostać ukrytym?

GlassWorm wykorzystuje pomysłową strategię opartą na wewnętrznym mechanizmie sieci Solana, aby przesyłać polecenia bez wzbudzania podejrzeń. Według badaczy, złośliwe oprogramowanie wykorzystuje możliwość dodawania metadanych w ramach każdej transakcji i wykorzystuje je jako ukryty kanał komunikacji z serwerem poleceń i kontroli. Zamiast służyć pierwotnemu celowi pola notatek, jakim jest rejestrowanie informacji o transferach, złośliwe oprogramowanie przekształca je w dyskretny kontener adresów IP i łączy do serwerów, na których przechowuje swoje ładunki.

Gdy komputer zostanie naruszony, złośliwy kod łączy się z blockchainem i wykonuje żądania za pomocą metody pobierzPodpisyDlaAdresuPozwala to atakującemu śledzić wcześniej skonfigurowany portfel. Metadane z ostatnich transakcji działają jak zaszyfrowane wiadomości zawierające zaktualizowane instrukcje, umożliwiając systemowi ciągłe odbieranie nowych poleceń bez konieczności korzystania z odsłoniętego serwera centralnego.

W tym kontekście badacze wyjaśnić Wykorzystanie Solany wynika z potrzeby wydajności. Jej praktycznie zerowe koszty transakcyjne pozwalają operatorom na ciągłą modyfikację infrastruktury przy minimalnych wydatkach. W praktyce każda aktualizacja kosztuje ułamek centa, co pozwala im na rotację serwerów i adresów tak często, jak to konieczne, aby uniknąć blokowania. Ta możliwość ciągłej zmiany daje cyberprzestępcom przewagę nad tradycyjnymi mechanizmami obronnymi opartymi na czarnych listach i filtrach DNS.

Co więcej, GlassWorm zachowuje swoją autonomię dzięki sieci zapasowej składającej się z kilku publicznych punktów dostępu RPC. Dopóki sieć Solana pozostaje sprawna, złośliwe oprogramowanie zachowa otwarty kanał komunikacyjny i wzmocni swoją obecność w zainfekowanym systemie. 

Krótko mówiąc, eksperci ostrzegają, że taka konstrukcja sprawia, że ​​GlassWorm jest trudnym do zneutralizowania zagrożeniem, zdolnym do szybkiej adaptacji i wykorzystywania infrastruktury blockchain jako operacyjnego schronienia.

Najsłabsze ogniwo w Web3: Blockchain nie jest problemem

Wreszcie, chociaż złośliwy kod GlassWorma znajduje się w ukryciu w blockchainie, rzeczywiste szkody powstają poza nim, poprzez oszukanie użytkownika. Atakujący używają phishing tworzyć ekosystemy fałszywych stron internetowych lub rozszerzeń przeglądarek, które wydają się legalne, w celu oszukania najbardziej zaufanych użytkowników. 

Kiedy ofiara wchodzi w interakcję z tymi fałszywymi witrynami, strona po cichu „wywołuje” sieć Solana, pobiera fragmenty kodu ukryte w metadanych transakcji, uzbraja wirusa w pamięci komputera użytkownika i uruchamia atak.

Według badaczy atak GlassWorm zwykle skutkuje dwoma rodzajami incydentów: kradzieżą frazy nasienne Obejmuje to ataki na portfele takie jak Phantom lub zmianę adresów wysyłkowych w czasie rzeczywistym. W pierwszym przypadku użytkownicy nieświadomie udzielaliby pełnego dostępu do swoich portfeli cyfrowych. W drugim atakujący mogliby zmieniać adresy docelowe w trakcie transakcji bez wiedzy użytkownika.

Naukowcy podkreślają, że sama techniczna solidność sieci takiej jak Solana nie wystarczy do ochrony zasobów cyfrowych. Prawdziwa obrona tkwi w codziennych nawykach użytkownika, jego zdolności do weryfikacji źródeł, wyczulenia na podejrzane linki i zachowania stałej czujności podczas wszelkich interakcji w środowisku Web3.