Kaspersky: infostealer Stealka celuje w MetaMask, Coinbase i ponad 80 portfeli poprzez fałszywe mody do gier
Kaspersky zidentyfikował nowego infostealera o nazwie Stealka, wykrytego podczas rozprzestrzeniania się za pośrednictwem fałszywych cheatów do gier, modów i pirackiego oprogramowania hostowanego na zaufanych portalach deweloperskich (GitHub, SourceForge, Softpedia, Google Sites). Malware wymaga, aby użytkownicy ręcznie pobrali i uruchomili złośliwe instalatory dołączone do fałszywych modów i crackowanych aplikacji. Po uruchomieniu na systemach Windows Stealka zbiera dane przeglądarek, zapisane hasła i artefakty portfeli kryptowalut, celując w ponad 100 przeglądarek opartych na Chromium i Gecko (Chrome, Firefox, Edge, Brave, Opera) oraz ponad 80 portfeli i rozszerzeń kryptowalutowych — w tym MetaMask, Coinbase Wallet, Binance Wallet, Phantom i Trust Wallet. Eksfiltrowuje klucze prywatne, frazy seed, ścieżki plików portfela i dane rozszerzeń (Kaspersky raportuje, że atakuje 115+ rozszerzeń portfeli, menedżerów haseł i 2FA), oraz poświadczenia i dane z aplikacji komunikacyjnych (Discord, Telegram), klientów poczty (Outlook, Thunderbird), VPN-ów (ProtonVPN, Surfshark) i aplikacji do notatek. Niektóre pakiety także wdrażają cryptominery, zwiększając ryzyko wydajności i zużycia zasobów. Telemetria pokazuje początkowe wykrycia w Rosji z przypadkami w Turcji, Brazylii, Niemczech i Indiach. Porady Kaspersky dla użytkowników kryptowalut: unikaj pobierania pirackiego lub nieoficjalnego oprogramowania i stron z cheatami; pobieraj mody tylko od zweryfikowanych twórców; weryfikuj sumy kontrolne lub podpisy cyfrowe plików; utrzymuj Windows i aplikacje zaktualizowane; uruchamiaj renomowane oprogramowanie antywirusowe/EDR; używaj dedykowanych menedżerów haseł i włącz dwuskładnikowe uwierzytelnianie; oraz dla fraz seed/kluczy prywatnych używaj sprzętowych portfeli lub przechowuj je całkowicie offline. Dla traderów: skompromitowane klucze i zapisane dane portfela mogą spowodować natychmiastową kradzież aktywów i przejęcie kont, a także przyspieszyć rozprzestrzenianie się poprzez inżynierię społeczną za pośrednictwem zainfekowanych kontaktów — co sprawia, że ostrożne praktyki pobierania i sprzętowe portfele są kluczowe, aby zmniejszyć ryzyko strat krótkoterminowych i długoterminowej ekspozycji bezpieczeństwa.
Bearish
Stealka celuje bezpośrednio w rozszerzenia portfeli przeglądarkowych i lokalne dane portfeli, ujawniając klucze prywatne i frazy seed. To tworzy natychmiastowy wektor kradzieży aktywów kryptowalutowych: skompromitowane klucze zazwyczaj prowadzą do szybkich transferów on‑chain z niewielkimi możliwościami rekompensaty. Krótkoterminowy wpływ rynkowy na konkretne tokeny przechowywane w skompromitowanych portfelach jest negatywny dla dotkniętych posiadaczy (wymuszone wyprzedaże lub bezpośrednie transfery), zwiększając presję sprzedaży i przypadki strat dla pojedynczych aktywów. Sam malware nie zmienia fundamentów protokołów, więc długoterminowy sentyment rynkowy wobec głównych tokenów (np. ETH, BTC) prawdopodobnie nie ulegnie istotnej zmianie; zamiast tego główne efekty to wyższe koszty bezpieczeństwa, większy popyt na portfele sprzętowe i usługi powiernicze oraz potencjalne uszczerbki na reputacji dostawców rozszerzeń portfeli przeglądarkowych. Traderzy powinni traktować to jako krótkoterminowy katalizator niedźwiedzi dla aktywów posiadanych przez skompromitowanych użytkowników oraz strukturalne przypomnienie o zmniejszeniu ekspozycji z gorących portfeli — wdrożenie portfeli sprzętowych, surowsza OPSEC i unikanie ryzykownych pobrań, aby ograniczyć natychmiastowe utraty aktywów.