Il Malware SolanaCry Ruba i Portafogli Crypto dagli Agenti AI per la Navigazione Web

Sommario

Gli operatori di malware stanno prendendo di mira gli agenti di codifica AI attraverso repository GitHub dannosi mascherati da kit di avvio legittimi. Quando un agente AI scopre e seleziona questi repository, potrebbe eseguire comandi PowerShell dannosi incorporati nel README, risultando nel dispiegamento di un RAT NetSupport Manager. Ciò fornisce agli attaccanti l’accesso remoto al sistema della vittima e consente il furto del portafoglio di criptovalute.

Indagine

I ricercatori hanno scoperto un repository di kit di avvio Solana dannoso su GitHub contenente un comando unico in PowerShell che scarica ed esegue un payload senza file. L’indagine ha recuperato un dropper PowerShell di 21 MB che estrae 14 componenti di NetSupport Manager in una directory di staging nascosta. L’analisi del file di configurazione ha anche rivelato un segreto RADIUS specifico associato al cluster di minaccia EVALUSION.

Mitigazione

Gli sviluppatori dovrebbero trattare tutti i contenuti elaborati dagli agenti AI, inclusi i risultati di ricerca e i file README, come input non attendibili. Le organizzazioni dovrebbero implementare controlli di sicurezza che monitorano e limitano il contesto e i comandi eseguiti dagli agenti. Gli agenti non dovrebbero essere autorizzati a scaricare ed eseguire codice remoto senza una revisione umana esplicita.

Risposta

Se si sospetta una compromissione, scollegare immediatamente la macchina interessata dalla rete. Rimuovere la directory di staging nascosta da %LOCALAPPDATA% e eliminare la chiave di registro di persistenza associata. È più importante di tutto ruotare tutte le credenziali, i token e le chiavi dei portafogli di criptovaluta accessibili dal sistema compromesso.

Esecuzione simulata

• Narrativa e comandi dell’attacco: L’avversario ha ottenuto con successo l’accesso iniziale alla workstation dell’utente. Per mantenere l’accesso attraverso i riavvii, l’attaccante intende utilizzare il metodo di persistenza SolanaCry. Cercherà di scrivere un valore di registro su HKCUSoftwareMicrosoftWindowsCurrentVersionRun con il nome SecureModule puntando a un eseguibile dannoso. Questa è una tecnica “Vivendo nel Registro”, che cerca di nascondere il meccanismo di persistenza all’interno di un hive del registro Windows standard per evitare il rilevamento da parte di scanner di file system basilari.

• Script di Test di Regressione:

  # Script di simulazione per imitare la persistenza SolanaCry
  $registryPath = "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
  $name = "SecureModule"
  $value = "C:UsersPublicclient32.exe"
  
  Write-Host "[+] Tentativo di simulare la persistenza di SolanaCry..."
  try {
      New-ItemProperty -Path $registryPath -Name $name -Value $value -PropertyType String -Force -ErrorAction Stop
      Write-Host "[!] Successo: Chiave di registro '$name' creata. Il rilevamento dovrebbe scattare." -ForegroundColor Green
  } catch {
      Write-Host "[-] Fallito creazione chiave di registro: $($_.Exception.Message)" -ForegroundColor Red
  }

• Comandi di Pulizia:

  # Script di pulizia per rimuovere la persistenza simulata
  $registryPath = "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
  $name = "SecureModule"
  
  if (Test-Path "$registryPath$name") {
      Remove-ItemProperty -Path $registryPath -Name $name -Force
      Write-Host "[+] Pulizia completata: Chiave di registro simulata rimossa." -ForegroundColor Cyan
  } else {
      Write-Host "[-] Pulizia saltata: Chiave non trovata." -ForegroundColor Yellow
  }