研究人员发现无法检测的恶意软件正在窃取加密浏览器钱包资金

周四发现一种新型恶意软件，可绕过防病毒检查并窃取Windows、Linux和macOS系统上的加密钱包数据。

该恶意软件被命名为ModStealer，在披露时已成功规避主流杀毒引擎检测近一个月，其软件包通过针对开发者的虚假招聘广告进行传播。

根据9to5Mac的初步报道，安全公司Mosyle披露了这一发现。Decrypt已联系Mosyle以获取更多信息。

<span data-mce-type=”bookmark” style=”display:inline-block;width:0px;overflow:hidden;line-height:0″ class=”mce_SELRES_start”></span>

Mosyle表示，通过虚假招聘广告分发是经过设计的策略，旨在触达可能已在使用或安装Node.js环境的开发者。

区块链安全公司慢雾首席信息安全官张帅告诉Decrypt：ModStealer“能规避主流杀毒软件的检测，对更广泛的数字资产生态系统构成重大风险。与传统窃密软件不同，其突出特点在于跨平台支持和隐秘的‘零检测’执行链”。

该恶意软件一旦执行，会扫描浏览器加密钱包扩展程序、系统凭证和数字证书。

张帅解释称，随后其“将数据外泄至远程C2服务器”。C2（命令与控制）服务器是网络犯罪分子用于管理和控制受感染设备的中心化系统，作为恶意软件和网络攻击的操作枢纽。

在运行macOS的苹果设备上，该恶意软件通过“持久化手段”实现自启动——每次计算机启动时伪装成后台助手程序自动运行。

这种机制使其在用户无感知的情况下持续运行。根据披露，感染迹象包括名为“.sysupdater.dat”的隐藏文件以及与可疑服务器的连接。

张帅表示：“虽然这些持久化技术单独来看很常见，但结合强混淆手段使ModStealer能有效抵御基于特征识别的安全工具。”

ModStealer的发现紧随Ledger首席技术官Charles Guillemet的相关警告。他于周二披露，攻击者已攻破一个NPM开发者账户，并试图传播可在交易过程中静默替换加密钱包地址的恶意代码，使多链资金面临风险。

虽然攻击被早期发现并阻止，但Guillemet后续指出，被篡改的软件包已关联以太坊、Solana等多条链。

Guillemet在首次预警几小时后发推称：“如果你的资产存放在软件钱包或交易所，一次代码执行就可能让你损失一切。”

谈及新恶意软件的潜在影响时，张帅警告称ModStealer对“加密用户和平台构成直接威胁”。

对终端用户而言，“私钥、助记词和交易所API密钥可能被盗，导致直接资产损失”；对加密行业而言，“浏览器扩展钱包数据的大规模窃取可能引发链上大规模攻击，侵蚀信任并放大供应链风险”。

每日简报 Newsletter

每日晨间获取头条新闻、原创专题、播客、视频等更多内容。 您的邮箱
立即订阅！
立即订阅！