Złośliwe oprogramowanie SolanaCry kradnie portfele kryptowalut z agentów AI przeglądających strony internetowe

Podsumowanie

Operatorzy złośliwego oprogramowania atakują agentów kodujących AI poprzez złośliwe repozytoria GitHub, które są zamaskowane jako legalne zestawy startowe. Kiedy agent AI odkrywa i wybiera te repozytoria, może wykonać złośliwe komendy PowerShell osadzone w README, co skutkuje wdrożeniem NetSupport Manager RAT. Daje to atakującym zdalny dostęp do systemu ofiary i umożliwia kradzież portfeli kryptowalut.

Śledztwo

Badacze odkryli złośliwe repozytorium zestawu startowego Solana na GitHub, zawierające jednoliniowy skrypt PowerShell, który pobiera i wykonuje bezplikowy ładunek. Śledztwo odzyskało 21 MB ładownik PowerShell, który wyodrębnia 14 komponentów NetSupport Manager do ukrytego katalogu staging. Analiza pliku konfiguracji ujawniła również specyficzne hasło RADIUS powiązane z klastrem zagrożeń EVALUSION.

Łagodzenie

Deweloperzy powinni traktować każdą treść przetwarzaną przez agentów AI, w tym wyniki wyszukiwania i pliki README, jako dane niesprawdzone. Organizacje powinny wdrożyć kontrolki bezpieczeństwa monitorujące i ograniczające kontekst i komendy wykonywane przez agentów. Agenci nie powinni mieć możliwości pobierania i wykonywania zdalnego kodu bez wyraźnej ludzkiej weryfikacji.

Reakcja

Jeśli podejrzewasz kompromitację, natychmiast odłącz zainfekowany komputer od sieci. Usuń ukryty katalog staging z %LOCALAPPDATA% i usuń powiązany klucz rejestru utrwalenia. Co najważniejsze, zmień wszystkie dane uwierzytelniające, tokeny i klucze portfela kryptowalut dostępne z zainfekowanego systemu.

Symulacja Wykonawcza

• Narracja Ataku i Komendy: Przeciwnik z powodzeniem uzyskał początkowy dostęp do stacji roboczej użytkownika. Aby utrzymać dostęp po restartach, atakujący zamierza użyć metody utrwalania SolanaCry. Będą próbować zapisać wartość rejestru do HKCUSoftwareMicrosoftWindowsCurrentVersionRun z nazwą SecureModule wskazującą na złośliwy plik wykonywalny. To technika „Życia z Rejestrem”, próbująca ukryć mechanizm utrwalania wewnątrz standardowego ula rejestru Windows, aby uniknąć wykrycia przez podstawowe skanery systemu plików.

• Skrypt Testu Regresji:

  # Skrypt symulacyjny do imitacji utrwalania SolanaCry
  $registryPath = "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
  $name = "SecureModule"
  $value = "C:UsersPublicclient32.exe"
  
  Write-Host "[+] Próba symulacji utrwalania SolanaCry..."
  spróbuj {
      New-ItemProperty -Path $registryPath -Name $name -Value $value -PropertyType String -Force -ErrorAction Stop
      Write-Host "[!] Sukces: Klucz rejestru '$name' utworzony. Detekcja powinna być uruchomiona." -ForegroundColor Green
  } catch {
      Write-Host "[-] Nie udało się utworzyć klucza rejestru: $($_.Exception.Message)" -ForegroundColor Red
  }

• Polecenia sprzątania:

  # Skrypt sprzątania do usunięcia symulowanej trwałości
  $registryPath = "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
  $name = "SecureModule"
  
  jeśli (Test-Path "$registryPath$name") {
      Remove-ItemProperty -Path $registryPath -Name $name -Force
      Write-Host "[+] Sprzątanie zakończone: Symulowany klucz rejestru usunięty." -ForegroundColor Cyan
  } else {
      Write-Host "[-] Sprzątanie pominięte: Klucz nie znaleziony." -ForegroundColor Yellow
  }