MSI Installer Malware Cilja Kripto Trgovce od Lipnja 2025.
Sofisticirana malware kampanja otkrivena kako cilja kripto trgovce tiho je aktivna od lipnja 2025., koristeći varljivo jednostavan, ali učinkovit trik: tvrdo kodirane SSH vjerodajnice i GitLab tokene izravno unutar MSI installer datoteka. Operacija je već kompromitirala više od 90 hostova i posebno je osmišljena za preuzimanje kripto trading računa kombiniranjem izviđanja sustava, keylogginga i krađe podataka iz preglednika u jedan koordinirani lanac napada. Za svakoga tko drži ili aktivno trguje digitalnom imovinom, mehanika ove kampanje otkriva zašto se oslanjanje isključivo na hardverski novčanik nije dovoljna zaštita.
Kako Funkcionira MSI Installer Kampanja: Izviđanje, Keylogging i Krađa iz Preglednika
Napad počinje kada meta izvrši ono što izgleda kao legitimni MSI installer — standardni Windows paket koji koriste bezbrojna softverska poduzeća. Nakon pokretanja, installer postavljа tromodularni malware kit koji djeluje u slijedu.
Prvi modul provodi izviđanje sustava, mapiranje konfiguracije zaraženog hosta, mrežnog okruženja i instaliranog softvera. Ova faza daje napadaču jasnu sliku s čime radi prije nego što se upusti u dublji upad. Drugi modul aktivira keylogger, bilježeći sve što žrtva tipka, uključujući vjerodajnice za prijavu na burze, kodove za dvofaktorsku autentifikaciju i lozinke novčanika. Treći modul cilja podatke pohranjene u preglednicima, izvlačeći spremljene lozinke, kolačiće sesije i unose za automatsko ispunjavanje koji se mogu koristiti za zaobilaženje autentifikacije na financijskim platformama bez ikakve potrebe za izravnom lozinkom računa.
Kombinacija je namjerna. Keylogging hvata vjerodajnice u pokretu; krađa iz preglednika hvata vjerodajnice u mirovanju. Zajedno, ostavljaju vrlo malo praznina.
Zašto su Tvrdo Kodirane Vjerodajnice Sistemski Rizik
Ono što ovu kampanju čini posebno zanimljivom iz perspektive sigurnosnih istraživanja nije samo što čini žrtvama, nego što otkriva o samim napadačima. Ugradnja tvrdo kodiranih SSH vjerodajnica i GitLab tokena unutar installera znači da malware nosi izravnu, statičnu vezu natrag do vlastite pozadinske infrastrukture.
To je operativni sigurnosni propust sa strane napadača, i nije jedinstven za ovu skupinu. Kada programeri — bilo da grade legitimni softver ili zlonamjerne alate — tvrdo kodiraju autentifikacijske tokene u kompajlirane ili pakirane datoteke, te vjerodajnice postaju čitljive svakome tko pregleda binarnu datoteku. Za branitelje, tvrdo kodirane vjerodajnice u malwareu mogu otkriti servere za upravljanje i kontrolu, repozitorije koda, pa čak i interni razvojni tijek rada prijetnje. Za žrtve, isti nedostatak koji bi mogao pomoći istražiteljima da pronađu napadače ne nudi zaštitu nakon što je kompromitacija već nastupila.
Ovaj obrazac odražava šire trendove u malwareu koji cilja oblak. Kao što je opisano u izvješćivanju o PCPJack malwareu koji iskorištava vjerodajnice u oblaku, okviri za krađu vjerodajnica sve više tretiraju nepravilno osigurane tokene kao lako dostupan plijen — bez obzira jesu li ti tokeni žrtvama ili, u ovom slučaju, samim napadačima.
Tko se Cilja i Kako se Kripto Trgovci Izdvajaju
Fokus kampanje na kripto trgovce nije slučajan. Kripto računi predstavljaju jedinstveno privlačan profil cilja: često sadrže značajnu likvidnu vrijednost, transakcije su nepovratne nakon što se emitiraju na blockchain, a mnogi trgovci koriste sučelja temeljena na preglednicima za upravljanje pozicijama na više burzi istovremeno.
Ta posljednja točka je ključna. Trgovanje putem preglednika znači da su sesije pohranjene u preglednicima, kolačići i spremljene vjerodajnice izravni put do pristupa računu. Napadač koji uhvati valjani kolačić sesije iz preglednika često može autentificirati na burzu bez pokretanja upita za lozinku ili dvofaktornu provjeru, jer je sama sesija već autentificirana. Keylogger komponenta zatim pokriva svaki scenarij u kojemu se trgovac odjavi i ponovo prijavi, hvatajući svježe vjerodajnice u stvarnom vremenu.
S više od 90 hostova koji su već potvrđeno kompromitrani, razmjer kampanje sugerira ciljanu, ali ustrajnu operaciju, a ne pristup nasumičnog ciljanja. Trgovci koji su preuzimali softver iz neslužbenih ili neprovjerenih izvora od lipnja 2025. izloženi su najvećem riziku.
Kako VPN-ovi, Upravitelji Vjerodajnicama i Higijena Preglednika Smanjuju Površinu Napada
Nijedan alat nije dovoljan da eliminira rizik koji ova kampanja predstavlja, ali nekoliko praksi smisleno smanjuje izloženost.
VPN ne sprječava izvršavanje malwarea kada je već na stroju, ali smanjuje rizik presretanja prometa i može ograničiti mrežnu vidljivost koju napadač stječe tijekom faze izviđanja. Još važnije, dosljedno korištenje VPN-a na svim uređajima pomaže uspostaviti mrežnu higijenu kao naviku, a ne kao naknadnu pomisao.
Upravitelji vjerodajnicama adresiraju jedan od temeljnih vektora napada: lozinke pohranjene u preglednicima. Kada su vjerodajnice pohranjene u namjenskom, šifriranom upravitelju, a ne u nativnom trezoru lozinki preglednika, krađa podataka iz preglednika daje daleko manje upotrebljivih informacija. Većina upravitelja vjerodajnicama također podržava generiranje jedinstvenih, složenih lozinki za svaki račun, što ograničava opseg štete ako jedan skup vjerodajnica bude uhvaćen.
Higijena preglednika je također važna. Trgovci bi trebali razmisliti o korištenju namjenskog profila preglednika, ili potpuno zasebnog preglednika, isključivo za pristup burzama. Taj profil ne bi trebao imati spremljenih lozinki, niti ekstenzija osim onih koje su strogo neophodne, i trebao bi se brisati od kolačića nakon svake sesije. Kolačići sesije ne mogu biti ukradeni iz sesije koja više ne postoji.
Konačno, disciplina pri instalaciji softvera je prva linija obrane. MSI datoteke dobivene izvan službenih stranica dobavljača ili trgovina aplikacija nose stvarni rizik. Provjera hash vrijednosti datoteka, provjera potpisâ izdavača i tretiranje svakog installera koji zahtijeva onemogućavanje sigurnosnog softvera kao trenutne crvene zastave mogu spriječiti početno izvršavanje koje sve ostalo čini mogućim.
Što to Znači za Vas
Ako aktivno trgujete kriptovalutama ili držite digitalnu imovinu dostupnu putem sučelja temeljenog na pregledniku, ova kampanja je izravno upozorenje. Hardverski novčanici štite sredstva na lancu, ali ne štite račune na burzama — a upravo tu je ovaj malware osmišljen da nanese štetu.
Počnite revizijom mjesta gdje trenutno žive vaše vjerodajnice. Ako su vaše lozinke za burzu spremljene u preglednicima, premjestite ih u namjenski upravitelj vjerodajnicama i generirajte nove, jedinstvene lozinke za svaku platformu. Pregledajte ekstenzije preglednika i uklonite sve što aktivno ne koristite. Provjerite povijest preuzimanja za sve MSI installere dobivene od lipnja 2025. iz izvora koje ne možete provjeriti.
Rastuća sofisticiranost operacija krađe vjerodajnica — od kampanja s tvrdo kodiranim tokenima opisanih ovdje do iskorištavanja višestrukih CVE-ova dokumentiranih u okvirima koji ciljaju oblak — čini proaktivnu higijenu vjerodajnica jednom od najučinkovitijih dostupnih obrana za pojedinačne korisnike. Utrošiti sat vremena na reviziju vašeg postava danas znatno je manje bolno od oporavka od preuzimanja računa sutra.
