SolanaCry-Malware stiehlt Krypto-Wallets von webbasierten KI-Agenten

Zusammenfassung

Malware-Betreiber zielen auf KI-Coding-Agenten durch bösartige GitHub-Repositories ab, die sich als legitime Starterkits tarnen. Wenn ein KI-Agent diese Repositories entdeckt und auswählt, kann er bösartige PowerShell-Befehle ausführen, die in der README eingebettet sind, was zur Bereitstellung eines NetSupport Manager RAT führt. Dies gibt Angreifern Fernzugriff auf das System des Opfers und ermöglicht den Diebstahl von Kryptowährungs-Wallets.

Untersuchung

Forscher entdeckten ein bösartiges Solana-Starterkit-Repository auf GitHub, das eine PowerShell-Einzeiler enthält, der eine Dateilose-Nutzlast herunterlädt und ausführt. Die Untersuchung ergab einen 21MB großen PowerShell-Dropper, der 14 NetSupport Manager-Komponenten in ein verstecktes Staging-Verzeichnis extrahiert. Die Analyse der Konfigurationsdatei offenbarte auch ein spezifisches RADIUS-Geheimnis, das mit dem EVALUSION-Bedrohungscluster verbunden ist.

Minderung

Entwickler sollten alle von KI-Agenten verarbeiteten Inhalte, einschließlich Suchergebnisse und README-Dateien, als nicht vertrauenswürdige Eingaben behandeln. Organisationen sollten Sicherheitskontrollen implementieren, die den Kontext und die von Agenten ausgeführten Befehle überwachen und einschränken. Agenten sollten nicht in der Lage sein, Remote-Code herunterzuladen und auszuführen, ohne explizite menschliche Überprüfung.

Reaktion

Wenn ein Kompromiss vermutet wird, trennen Sie die betroffene Maschine sofort vom Netzwerk. Entfernen Sie das versteckte Staging-Verzeichnis aus %LOCALAPPDATA% und löschen Sie den zugehörigen Persistenz-Registrierungsschlüssel. Am wichtigsten ist es, alle Zugangsdaten, Tokens und Kryptowährungs-Wallet-Schlüssel zu wechseln, die vom kompromittierten System zugänglich waren.

Simulationsausführung

• Angriffs-Narrativ & Befehle: Der Angreifer hat erfolgreich initialen Zugriff auf die Workstation des Benutzers erhalten. Um den Zugriff über Neustarts hinweg aufrechtzuerhalten, beabsichtigt der Angreifer, die SolanaCry-Persistenzmethode zu verwenden. Sie werden versuchen, einen Registrierungswert zu schreiben in HKCUSoftwareMicrosoftWindowsCurrentVersionRun mit dem Namen SecureModule der auf eine bösartige ausführbare Datei zeigt. Dies ist eine „Living off the Registry“-Technik, die versucht, den Persistenzmechanismus innerhalb eines Standard-Windows-Registry-Hive zu verstecken, um der Erkennung durch grundlegende Dateisystem-Scanner zu entgehen.

• Regressionstest-Skript:

  # Simulationsskript zur Nachahmung der SolanaCry-Persistenz
  $registryPath = "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
  $name = "SecureModule"
  $value = "C:UsersPublicclient32.exe"
  
  Write-Host "[+] Versuch, SolanaCry-Persistenz zu simulieren..."
  try {
      New-ItemProperty -Path $registryPath -Name $name -Value $value -PropertyType String -Force -ErrorAction Stop
      Write-Host "[!] Erfolg: Registrierungsschlüssel '$name' erstellt. Erkennung sollte ausgelöst werden." -ForegroundColor Green
  } catch {
      Write-Host "[-] Fehler beim Erstellen des Registrierungsschlüssels: $($_.Exception.Message)" -ForegroundColor Red
  }

• Bereinigungskommandos:

  # Bereinigungsskript zum Entfernen der simulierten Persistenz
  $registryPath = "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
  $name = "SecureModule"
  
  if (Test-Path "$registryPath$name") {
      Remove-ItemProperty -Path $registryPath -Name $name -Force
      Write-Host "[+] Bereinigung abgeschlossen: Simulierter Registrierungsschlüssel entfernt." -ForegroundColor Cyan
  } else {
      Write-Host "[-] Bereinigung übersprungen: Schlüssel nicht gefunden." -ForegroundColor Yellow
  }