Шкідливе програмне забезпечення SolanaCry краде криптовалютні гаманці від агентів штучного інтелекту для веб-перегляду

Резюме

Оператори зловмисного програмного забезпечення націлюються на AI-агентів кодування через шкідливі сховища GitHub, замасковані під легітимні стартові комплекти. Коли AI-агент виявляє і вибирає ці сховища, він може виконувати шкідливі команди PowerShell, вбудовані в README, що призводить до розгортання RAT NetSupport Manager. Це дає зловмисникам віддалений доступ до системи жертви і дозволяє крадіжку гаманців криптовалюти.

Розслідування

Дослідники виявили шкідливе сховище стартового комплекту Solana на GitHub, яке містить однорядковий PowerShell, що завантажує і виконує безфайловий корисний вантаж. Розслідування виявило 21MB PowerShell-дроппер, який витягує 14 компонентів NetSupport Manager у приховану тимчасову директорію. Аналіз конфігураційного файлу також розкрив специфічний RADIUS-секрет, пов’язаний із загрозою EVALUSION.

Захист

Розробники повинні вважати весь вміст, оброблений AI-агентами, включаючи результати пошуку та файли README, недовіреним вхідним потоком. Організації повинні реалізувати засоби безпеки, які монітують і обмежують контекст і команди, що виконуються агентами. Агентам не можна дозволяти завантажувати і виконувати віддалений код без явного людського огляду.

Реакція

У разі підозри на компрометацію негайно відключіть уражену машину від мережі. Видаліть приховану тимчасову директорію з %LOCALAPPDATA% і видаліть відповідний ключ стійкості в реєстрі. Найголовніше, змініть всі облікові дані, токени та ключі гаманців криптовалюти, до яких був доступ із компрометованої системи.

Виконання симуляції

• Наратив і команди атаки: Супротивник успішно отримав початковий доступ до робочої станції користувача. Щоб підтримувати доступ після перезавантажень, зловмисник має намір використовувати метод стійкості SolanaCry. Вони спробують записати значення реєстру в HKCUSoftwareMicrosoftWindowsCurrentVersionRun з назвою SecureModule вказуючи на шкідливий виконаний файл. Це техніка “Living off the Registry”, яка намагається приховати механізм стійкості в стандартному вулику реєстру Windows, щоб уникнути виявлення базовими сканерами файлової системи.

• Сценарій тесту регресії:

  # Сценарій симуляції для імітації стійкості SolanaCry
  $registryPath = "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
  $name = "SecureModule"
  $value = "C:UsersPublicclient32.exe"
  
  Write-Host "[+] Спроба імітувати стійкість SolanaCry..."
  try {
      New-ItemProperty -Path $registryPath -Name $name -Value $value -PropertyType String -Force -ErrorAction Stop
      Write-Host "[!] Успіх: створено ключ реєстру '$name'. Виявлення має спрацювати." -ForegroundColor Green
  } catch {
      Write-Host "[-] Не вдалося створити ключ реєстру: $($_.Exception.Message)" -ForegroundColor Red
  }

• Команди очищення:

  # Сценарій очищення для видалення імітованої стійкості
  $registryPath = "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
  $name = "SecureModule"
  
  if (Test-Path "$registryPath$name") {
      Remove-ItemProperty -Path $registryPath -Name $name -Force
      Write-Host "[+] Очищення завершено: Імітований ключ реєстру видалено." -ForegroundColor Cyan
  } else {
      Write-Host "[-] Очищення пропущено: ключ не знайдено." -ForegroundColor Yellow
  }