Dieser unsichtbare 'ModStealer' richtet sich gezielt auf Ihre browserbasierten Krypto-Wallets

Eine neue Malware-Variante, die speziell darauf ausgelegt ist, Daten von Krypto-Wallets zu stehlen, umgeht laut dem Sicherheitsunternehmen für Apple-Geräte Mosyle sämtliche gängige Antiviren-Programme.

Unter dem Namen ModStealer ist der Infostealer seit fast einem Monat aktiv, ohne von Virenscannern entdeckt zu werden. Forscher von Mosyle berichten, dass die Malware über bösartige Recruiter-Anzeigen verbreitet wird, die gezielt Entwickler ansprechen, und ein stark verschlüsseltes NodeJS-Skript verwendet, um signaturbasierte Abwehrmechanismen zu umgehen.

Das bedeutet, dass der Code der Malware verschlüsselt und mit Tricks versehen wurde, die ihn für signaturbasierte Antivirenprogramme unlesbar machen. Da diese Schutzmechanismen darauf basieren, erkennbare Code-„Muster“ zu identifizieren, verbirgt die Verschleierung diese und ermöglicht es dem Skript, ohne Erkennung ausgeführt zu werden.

In der Praxis ermöglicht dies Angreifern, bösartige Anweisungen in ein System einzuschleusen, während sie herkömmliche Sicherheitsprüfungen umgehen, die normalerweise einfacheren, unveränderten Code erkennen würden.

Im Gegensatz zu den meisten auf Mac ausgerichteten Schadprogrammen ist ModStealer plattformübergreifend und greift auch Windows- sowie Linux-Umgebungen an. Seine Hauptaufgabe besteht in der Datenexfiltration, und es wird angenommen, dass der Code vorgefertigte Anweisungen enthält, um 56 Browser-Wallet-Erweiterungen ins Visier zu nehmen, die dazu dienen, private Schlüssel, Zugangsdaten und Zertifikate zu extrahieren.

Die Malware unterstützt außerdem das Hijacking der Zwischenablage, die Bildschirmaufnahme und die Ausführung von Remote-Code, wodurch Angreifern die Möglichkeit gegeben wird, die nahezu vollständige Kontrolle über infizierte Geräte zu übernehmen. Auf macOS wird die Persistenz über Apples Launch-Tool erreicht, indem sie sich als LaunchAgent einbettet.

Mosyle gibt an, dass der Build dem Profil von „Malware-as-a-Service“ entspricht, bei dem Entwickler vorgefertigte Tools an Affiliate-Partner mit begrenzter technischer Expertise verkaufen. Dieses Modell hat in diesem Jahr einen Anstieg von Infostealern ausgelöst, wobei Jamf allein für 2025 einen Anstieg von 28 % meldet.

Die Entdeckung erfolgt im Anschluss an kürzliche, auf npm fokussierte Angriffe, bei denen bösartige Pakete wie colortoolsv2 und mimelib2 Ethereum-Smart-Contracts nutzten, um Malware der zweiten Stufe zu verschleiern. In beiden Fällen nutzten die Angreifer Verschleierungstechniken und vertrauenswürdige Entwicklerinfrastrukturen, um die Erkennung zu umgehen.

ModStealer weitet dieses Muster über Paket-Repositorys hinaus aus und zeigt, wie Cyberkriminelle ihre Techniken über verschiedene Ökosysteme hinweg eskalieren, um Entwicklerumgebungen zu kompromittieren und direkt auf Krypto-Wallets abzuzielen.