恶意软件窃取加密货币的五种新技术

发布时间：2025-11-05 08:48:42 来源：技术快报 作者：IT科技

译者 | 布加迪

审校 | 重楼

网络犯罪分子从未停止过创新的恶意步伐，他们尤其被加密货币所吸引。软件也许你正在畅游互联网，加密却不知道将要踩到多少雷。货币说到保护加密货币资金，新技小心谨慎、恶意及时了解最新的软件安全趋势永远不会有坏处。

为了让你了解加密货币行业对恶意攻击者来说有多庞大，加密不妨看看Chainalysis的货币数据：2023年非法加密货币地址收到了大约242亿美元。别成为下一个受害者！新技赶紧看看今年你应该知道的恶意一些新的恶意软件技术以及如何保护自己免受侵害。

从非官方网站下载应用程序并不是一个好主意，下面就是加密一个典例。网络安全公司卡巴斯基今年早些时候发现了一个新的货币威胁，针对macOS用户的新技加密货币钱包，隐藏在torrent和盗版网站上的盗版软件中。

当用户安装这些看似免费的程序后，他们在不知不觉中允许恶意软件进入其计算机。第一步涉及一个名为“激活器”的应用程序，它提示用户提供管理员访问权。这给了恶意软件必要的站群服务器权限来安装自己，并禁用盗版软件的正常功能，诱骗用户认为他们需要这个激活器才能使软件正常运行。

一旦安装，恶意软件就联系远程服务器下载进一步的恶意指令。这些指令帮助恶意软件创建一个后门，使黑客能够持续访问受感染的计算机。这种恶意软件的主要目的是窃取加密货币。它用受感染的版本取代了合法的钱包应用程序，比如Exodus和Bitcoin-Qt。

然后，这些被修改的应用程序会获取敏感信息，比如恢复短语和钱包密码，并将它们发送给黑客，实际上掏空你的加密货币资金。在获得“免费”应用程序后出现可疑的“激活器”安装程序？别为它提供访问权，立即卸载！

Vortax Campaign是一种针对加密货币用户的欺骗性恶意软件活动，由Recorded Future的亿华云研究人员发现。该活动背后的网络犯罪分子使用看似合法的虚假应用程序，用窃取信息的恶意软件感染Windows设备和macOS设备。这款应用程序伪装成一款名为Vortax的虚拟会议软件，看起来很可信，它有被搜索引擎索引的网站，有人工智能生成文章的博客，还有X、Telegram和Discord等平台上的社交媒体账户。威胁分子在以加密货币为主题的讨论中与潜在受害者接触，指导他们以加入虚拟会议的名义下载Vortax应用程序。

一旦用户按照提供的说明操作，他们就会被重定向到安装Vortax软件的下载链接。然而，安装文件分发的不是一个实用的应用程序，而是恶意软件，比如Rhadamanthys、Stealc或Atomic Stealer（AMOS）。IT技术网由于故意错误，Vortax应用程序似乎无法正常工作，而在后台，恶意软件开始窃取敏感信息，包括密码和种子短语。进一步的调查显示，Vortax活动与多个托管类似恶意应用程序和虚假web3游戏的域名有关，这表明威胁分子Markopolo开展的活动井然有序。

Markopolo的策略包括利用社交媒体和信息平台来传播其恶意软件，还伪装成VDeck、Mindspeak、ArgonGame、DustFighter和Astration等品牌和游戏。这种策略不仅扩大了他们的影响范围，还加大了用户被骗下载恶意软件的可能性。该活动的复杂性和适应性意味着未来的攻击可能会变得更加普遍，这表明了用户在下载第三方软件时需要谨慎行事，特别是在觉得可疑的时候。

Sonatype研究人员发现了一种新的威胁，该威胁通过一个名为“pytoileur”的恶意Python包针对加密货币用户。pytoileur伪装成合法的API管理工具，欺骗用户从Python包索（PyPI）下载它。一旦安装，该包就会秘密检索并安装有害软件，旨在通过访问存储在受害者设备上的敏感信息来窃取加密货币。

恶意包巧妙地隐藏在看似无害的代码中。它下载了一个危险的可执行文件，一旦执行，就会执行各种恶意活动，这包括修改系统设置、在设备上潜伏下来以免被发现。最重要的是，试图从与Binance、Coinbase和Crypto.com等流行服务相关的钱包和账户中窃取加密货币。通过访问浏览器数据及其他财务细节，恶意软件可以在受害者不知情的情况下窃取数字资产。

pytoileur的传播涉及社会工程策略，包括利用Stack Overflow等社区平台，以解决技术问题为幌子引诱开发人员下载该包。这起事件是更广泛的“Cool package”（酷包）活动的一部分，表明网络犯罪分子一直借助复杂且不断发展的方法瞄准加密货币用户。另一家安全公司Mend.io已在PyPI库中发现了100多个恶意包。

开发人员可以通过从可信来源下载、验证包的完整性以及在使用前检查代码来避免恶意包。随时更新安全建议和使用自动化安全工具也会有所帮助。

Cado Security发现的p2pinfection是一种复杂的恶意软件，利用点对点僵尸网络进行控制。换句话说，该恶意软件检测一台计算机是否属于网络，并感染所有连接的设备，以便在不依赖中央服务器的情况下直接相互通信和控制。最初看起来是休眠的，更新后的形式现在包括勒索软件和加密货币挖掘功能。

一旦感染，它主要通过流行的数据库系统Redis的漏洞传播开来，允许恶意软件执行任意命令，并在连接的系统之间传播。僵尸网络特性确保了更新快速分发，例如在整个公司内维护一个广泛的受感染设备网络。

受害者通常通过不安全的Redis配置或通过有限的SSH（Secure Shell）尝试使用公共凭据管理远程系统而遇到p2pinfection。一旦在受害者系统上激活，p2pinfection就会安装一个针对门罗币加密货币的加密货币挖矿软件。该挖矿软件在短暂的延迟后激活，并使用系统的资源生成加密货币，暗中将不义之财汇到攻击者的钱包中，并减慢设备的运行速度。

勒索软件组件加密（阻止）文件，并要求支付加密货币才能检索文件，不过由于受感染Redis服务器的典型权限，其有效性受到限制。攻击者的门罗币钱包已经积累了大约71个XMR，相当于大约12400美元。这说明了该活动已成功牟利，尽管由于Redis存储的典型低价值数据，该勒索软件的潜在影响有限。为了避免这种恶意软件，请记得保护Redis配置，并定期监测异常活动。

据安全公司SlowMist描述，虚假的AggrTrade Chrome扩展是一种恶意工具，诱骗用户损失大量加密货币。该扩展伪装成一个合法的交易工具（AggrTrade），但其目的完全是为了窃取资金。用户在不知情的情况下安装了它，然后它通过劫持敏感信息（密码和凭据）访问加密货币交易所和交易平台，大做文章。

该扩展通过获取cookie及其他会话数据来实现功能，这允许它模拟用户的登录并进行未经授权的交易。这导致了盗窃总共约100万美元的资产。它借助社交媒体和营销推广的欺骗手段来传播，引诱受害者下载和安装该扩展，常常来自非官方或可疑的来源。

这个特定的威胁已经被端掉了，但这只是众多恶意尝试中的一个微不足道的例子。目前，其他几个恶意的Chrome扩展在冒充真正的交易服务，旨在窃取加密货币。为了保护自己，只安装来自可信来源的扩展，定期检查权限，并监测账户是否有异常活动。

另外请记住，所有浏览器扩展都能够跟踪你的整个浏览历史，查看你在每个网站上执行的操作，并窃取cookie和其他私密数据。为大额资金使用硬件或纸币钱包，并保持安全软件更新也可以增强你对此类威胁的防护。

为了防范诸如此类的加密货币窃取恶意软件，你可以采取一些基本措施：

原文标题：5 New Malware Techniques to Steal Your Crypto (2024)

相关文章