MSI-installermalware riktar sig mot kryptohandlare sedan juni 2025
En sofistikerad skadeprogramskampanj riktad mot kryptovalutahandlare har varit tyst aktiv sedan juni 2025, och använder ett bedrägligt enkelt men effektivt trick: hårdkodning av SSH-uppgifter och GitLab-tokens direkt inuti MSI-installerfiler. Operationen har redan komprometterat mer än 90 värdar och är specifikt konstruerad för att ta över kryptohandelskonton genom att kombinera systemrekognosering, tangentloggning och webbläsardatastöld i en enda samordnad attackkedja. För alla som innehar eller aktivt handlar med digitala tillgångar avslöjar mekaniken bakom den här kampanjen varför det inte räcker att enbart förlita sig på en hårdvaruplånbok.
Hur MSI-installerkampanjen fungerar: Rekognosering, tangentloggning och webbläsarstöld
Attacken börjar när ett mål kör vad som verkar vara en legitim MSI-installer, det standardiserade Windows-paketformat som används av otaliga programvaruleverantörer. När den väl körs driftsätter installern ett skadeprogram bestående av tre moduler som verkar i sekvens.
Den första modulen utför systemrekognosering och kartlägger den infekterade värdens konfiguration, nätverksmiljö och installerad programvara. Det här steget ger angriparen en tydlig bild av vad de arbetar med innan de förbinder sig till ett djupare intrång. Den andra modulen aktiverar en tangentloggare som fångar upp allt offret skriver, inklusive inloggningsuppgifter till börser, tvåfaktorsautentiseringskoder och lösenfraser till plånböcker. Den tredje modulen riktar sig mot webbläsarlagrad data och extraherar sparade lösenord, sessionscookies och autofyllningsposter som kan användas för att kringgå autentisering på finansiella plattformar utan att någonsin behöva kontolösenordet direkt.
Kombinationen är avsiktlig. Tangentloggning fångar uppgifter i rörelse; webbläsarstöld fångar uppgifter i vila. Tillsammans lämnar de mycket få luckor.
Varför hårdkodade uppgifter utgör en systemisk risk
Det som gör den här kampanjen särskilt anmärkningsvärd ur ett säkerhetsforskningsperspektiv är inte bara vad den gör mot offren, utan vad den avslöjar om angriparna själva. Att bädda in hårdkodade SSH-uppgifter och GitLab-tokens inuti installern innebär att skadeprogrammet bär en direkt, statisk länk tillbaka till sin egen backend-infrastruktur.
Det här är ett operationellt säkerhetsfel från angriparens sida, och det är inte unikt för den här gruppen. När utvecklare, oavsett om de bygger legitim programvara eller skadliga verktyg, hårdkodar autentiseringstoken i kompilerade eller paketerade filer, blir dessa uppgifter läsbara för vem som helst som granskar den binära filen. För försvarare kan hårdkodade uppgifter i skadeprogram avslöja kommando- och kontrollservrar, kodförråd och till och med det interna utvecklingsarbetsflödet hos en hotaktör. För offer erbjuder samma brist som kan hjälpa utredare att spåra angripare inget skydd efter att intrånget redan har skett.
Det här mönstret speglar bredare trender inom molnriktad skadeprogram. Som rapporterat om PCPJack-malware som utnyttjar molnuppgifter behandlar ramverk för uppgiftsstöld i allt högre grad otillräckligt säkrade tokens som lättplockad frukt, oavsett om dessa tokens tillhör offer eller, i det här fallet, angriparna själva.
Vilka som är måltavlor och hur kryptohandlare pekas ut
Kampanjens fokus på kryptovalutahandlare är inte en tillfällighet. Kryptokonton utgör ett unikt attraktivt målprofil: de innehåller ofta betydande likvida värden, transaktioner är oåterkalleliga när de väl sänts ut till blockkedjan, och många handlare använder webbläsarbaserade gränssnitt för att hantera positioner på flera börser samtidigt.
Den sista punkten är avgörande. Webbläsarbaserad handel innebär att webbläsarlagrade sessioner, cookies och sparade uppgifter utgör en direkt ingång till kontotillgång. En angripare som fångar en giltig sessionscookie från en webbläsare kan ofta autentisera sig mot en börs utan att utlösa lösenords- eller tvåfaktorsuppmaningar, eftersom sessionen i sig redan är autentiserad. Tangentloggarkomponenten täcker sedan alla scenarion där handlaren loggar ut och in igen och fångar upp nya uppgifter i realtid.
Med över 90 värdar redan bekräftade som komprometterade tyder kampanjens omfattning på en riktad men ihärdig operation snarare än ett brett spray-and-pray-angreppssätt. Handlare som laddade ner programvara från inofficiella eller overifierade källor sedan juni 2025 löper störst risk.
Hur VPN:er, lösenordshanterare och webbläsarhygien minskar din attackyta
Inget enskilt verktyg eliminerar den risk som den här kampanjen representerar, men flera metoder minskar exponeringen på ett meningsfullt sätt.
Ett VPN förhindrar inte att skadeprogram körs när det väl finns på en maskin, men det minskar risken för trafikavlyssning och kan begränsa den nätverksnivåsynlighet en angripare får under rekognoseringsfasen. Viktigare är att konsekvent använda ett VPN på alla enheter hjälper till att etablera nätverkshygien som en vana snarare än en eftertanke.
Lösenordshanterare adresserar en av de centrala attackvektorerna här: webbläsarlagrade lösenord. När uppgifter lagras i en dedikerad, krypterad hanterare snarare än webbläsarens inbyggda lösenordsvalv ger webbläsardatastöld mycket mindre användbar information. De flesta lösenordshanterare stöder också generering av unika, komplexa lösenord för varje konto, vilket begränsar skadeverkningarna om en uppsättning uppgifter fångas upp.
Webbläsarhygien spelar också roll. Handlare bör överväga att använda en dedikerad webbläsarprofil, eller en helt separat webbläsare, uteslutande för börsåtkomst. Den profilen bör inte ha några sparade lösenord, inga tillägg utöver vad som är strikt nödvändigt, och bör rensas på cookies efter varje session. Sessionscookies kan inte stjälas från en session som inte längre existerar.
Slutligen är disciplin kring programvaruinstallation den första försvarslinjen. MSI-filer som erhållits utanför officiella leverantörssajter eller appbutiker innebär en verklig risk. Att verifiera filhashar, kontrollera utgivarsignaturer och behandla varje installer som kräver att säkerhetsprogramvara inaktiveras som en omedelbar varningssignal kan förhindra den initiala körning som möjliggör allt annat.
Vad det här innebär för dig
Om du aktivt handlar med kryptovaluta eller innehar digitala tillgångar tillgängliga via ett webbläsarbaserat gränssnitt är den här kampanjen en direkt varning. Hårdvaruplånböcker skyddar fonderna på kedjan, men de skyddar inte börskonton, och det är där den här skadeprogramvaran är utformad att orsaka skada.
Börja med att granska var dina uppgifter för närvarande finns. Om dina börsens lösenord är sparade i en webbläsare, flytta dem till en dedikerad lösenordshanterare och generera nya, unika lösenord för varje plattform. Granska dina webbläsartillägg och ta bort allt du inte aktivt använder. Kontrollera din nedladdningshistorik för eventuella MSI-installerfiler som erhållits sedan juni 2025 från källor du inte kan verifiera.
Den eskalerande sofistikeringen hos uppgiftsstöldsoperationer, från de hårdkodade tokenkampanjer som beskrivs här till den flerfaldig-CVE-exploatering som dokumenterats i molnriktade ramverk, gör proaktiv uppgiftshygien till ett av de mest effektiva försvar som finns tillgängliga för enskilda användare. Att ägna en timme åt att granska din konfiguration idag är betydligt mindre smärtsamt än att återhämta sig från ett kontoövertagande imorgon.
