Sie tarnt sich als legitime Solana-SDK-Tools. Die Kampagne zielt speziell auf russische Kryptounterentwickler über bösartige npm-Pakete ab – was Bedenken hinsichtlich einer möglichen staatlichen Beteiligung weckt.
Wie die Kampagne funktioniert
Das Sicherheitsunternehmen Safety entdeckte, dass die Solana-Scan-Kampagne npm-Pakete mit den Namen „solana-pump-test“ und „solana-spl-sdk“ nutzte, die von einem Akteur mit dem Alias cryptohan und der E-Mail-Adresse crypto2001813@gmail[.]com veröffentlicht wurden. Diese Pakete geben sich als harmlose Solana-Scan-Tools aus, installieren jedoch heimlich Infostealer-Malware.
Sobald sie aktiviert sind, durchsuchen die Pakete gängige Benutzerverzeichnisse – wie Dokumente, Downloads, Desktop und zusätzliche Laufwerke – nach potenziellen Krypto-Assets und sensiblen Dateien.
Ziele, Akteure und Spekulationen
Opferdaten deuten auf russische Entwickler hin, und die Pakete werden auf npm gehostet, einem Repository, das Microsoft über GitHub besitzt. Sicherheitsanalysten stellten fest, dass die Command-and-Control-Server (C2), die die exfiltrierten Daten verwalten, in den USA ansässig sind, was geopolitische Implikationen nahelegt.
Paul McCarty, Forschungsleiter bei Safety, deutete auf mögliche staatlich unterstützte Motive für diese Angriffe hin, auch wenn eindeutige Beweise bislang fehlen.
Verhalten der Malware und KI-Merkmale
Detaillierte Untersuchungen zeigten, dass die Malware möglicherweise mit generativen KI-Tools entwickelt wurde – Entwickler entdeckten Emojis in console.log-Anweisungen, was auf KI-gestützte Codegenerierung hindeutet.
Der Angriff ist sowohl heimlich als auch strategisch: Er verwendet eine zweistufige Payload. Zunächst erstellt ein Launcher-Skript ein Profil der Systemumgebung (Benutzernamen, Verzeichnisse, Installationsmodi), bevor die Haupt-Payload ausgeführt wird, die nach sensiblen Dateien wie .env, .json und Wallet-Schlüsseln sucht.
Warum das wichtig ist
Die Solana-Scan-Kampagne unterstreicht die zunehmende Raffinesse von Lieferkettenangriffen und entwicklerorientierten Cyberbedrohungen – insbesondere im Blockchain-Bereich. Indem sie vertrauenswürdige Entwicklungstools nachahmen, umgehen die Angreifer Sicherheitsfilter und erhalten direkten Zugriff auf hochsensible Anmeldedaten und Vermögenswerte. Dies gefährdet nicht nur Entwickler, sondern auch das gesamte Solana-Ökosystem.
Fazit
Die Solana-Scan-Kampagne ist ein erschreckendes Beispiel dafür, wie Bedrohungsakteure das Vertrauen in Open Source ausnutzen – indem sie sich als nützliche SDK-Tools ausgeben, um Entwicklungsumgebungen zu kompromittieren. Da Russland offenbar im Visier steht und US-basierte Infrastruktur die gestohlenen Daten verarbeitet, halten die Spekulationen über geopolitische Motive an. Entwickler müssen wachsam bleiben und npm-Abhängigkeiten sorgfältig prüfen, insbesondere in Hochrisiko-Ökosystemen wie Solana.
0 Kommentare zu „Solana-Scan-Kampagne zielt auf russische Kryptoentwickler“