Il malware “ModStealer” prende di mira i portafogli di criptovalute, eludendo il rilevamento degli antivirus

ModStealer è un nuovo malware cross-platform che elude gli strumenti antivirus, si diffonde attraverso false offerte di lavoro e ruba le credenziali dei portafogli criptovalute.

La società di cybersecurity Mosyle ha rilevato un nuovo pericoloso malware che ruba informazioni sensibili eludendo il rilevamento dei sistemi antivirus standard. La comunità di sicurezza ha scoperto il malware ModStealer su VirusTotal quasi un mese fa, ma è passato inosservato dai principali motori di sicurezza.

I risultati, descritti per la prima volta da 9to5Mac, mostrano come ModStealer operi su più sistemi operativi. Il malware esiste come uno strumento multi-piattaforma che funziona specificamente per rubare dati agli utenti. La diffusione del malware avviene attraverso false offerte di lavoro che mirano ai programmatori.

Il file JavaScript NodeJS camuffato viene eseguito sui computer delle vittime senza innescare alcun allarme da parte dei tipici software antivirus.

L’obiettivo principale del malware sono i dati personali. I ricercatori hanno scoperto un codice di programmazione che prende di mira i portafogli di criptovaluta, le credenziali di accesso, i dettagli di configurazione e i certificati.

Il malware contiene attacchi pre-programmati contro 56 estensioni di portafogli del browser, incluso Safari, che permettono agli hacker di rubare chiavi private e dettagli dell’account.

ModStealer è anche in grado di catturare il contenuto degli appunti, effettuare screenshot, e persino eseguire codice remoto. “Le prime due funzionalità sono preoccupanti, ma l’ultima può dare agli aggressori quasi il totale controllo sui dispositivi infettati”, ha spiegato Mosyle, come riportato da 9to5Mac.

Su macOS, il malware utilizza il proprio strumento launchctl di Apple per inserirsi come un LaunchAgent, conferendogli persistenza sulle macchine infettate. Il malware funziona in modalità stealth, raccogliendo dati di sistema che poi trasferisce a un server finlandese collegato a un’infrastruttura basata in Germania. In questo modo nasconde la vera posizione degli aggressori.

9to5Mac riporta che Mosyle crede che ModStealer faccia parte di un mercato in crescita di Malware-as-a-Service, dove hacker professionisti vendono malware pronti all’uso a criminali meno esperti.

“Per i professionisti della sicurezza, gli sviluppatori e gli utenti finali, questo serve come un severo monito che le protezioni basate esclusivamente su firme non sono sufficienti”, avverte Mosyle, come riportato da 9to5Mac.