Questo 'ModStealer' Invisibile Sta Prendendo di Mira i Tuoi Portafogli Crypto Basati su Browser

Una nuova variante di malware, specificamente progettata per rubare i dati dei portafogli crypto, sta bypassando tutti i principali motori antivirus, secondo la società di sicurezza per dispositivi Apple Mosyle.

Chiamato ModStealer, l'infostealer è attivo da quasi un mese senza essere rilevato dagli scanner antivirus. I ricercatori di Mosyle affermano che il malware viene distribuito tramite annunci di reclutatori malevoli rivolti agli sviluppatori e utilizza uno script NodeJS fortemente offuscato per bypassare le difese basate su firme.

Ciò significa che il codice del malware è stato criptato e stratificato con tecniche che lo rendono illeggibile agli strumenti antivirus basati su firme. Poiché queste difese si basano sull'individuazione di “schemi” di codice riconoscibili, l’offuscamento li nasconde, permettendo allo script di essere eseguito senza rilevamento.

In pratica, ciò consente agli aggressori di inserire istruzioni malevole in un sistema bypassando le scansioni di sicurezza tradizionali che normalmente rileverebbero codice più semplice e non alterato.

A differenza della maggior parte dei malware focalizzati su Mac, ModStealer è multiplatform, colpendo anche gli ambienti Windows e Linux. La sua missione principale è l'esfiltrazione di dati, e si presume che il codice includa istruzioni pre-caricate per prendere di mira 56 estensioni di wallet browser progettate per estrarre chiavi private, credenziali e certificati.

Il malware supporta inoltre l'hijacking degli appunti, la cattura dello schermo e l'esecuzione remota di codice, offrendo agli aggressori la capacità di acquisire un controllo quasi totale sui dispositivi infettati. Su macOS, la persistenza viene garantita tramite lo strumento di avvio di Apple, incorporandosi come LaunchAgent.

Mosyle afferma che la build si allinea al profilo di “Malware-as-a-Service,” dove gli sviluppatori vendono strumenti pronti all’uso ad affiliati con competenze tecniche limitate. Il modello ha causato un aumento degli infostealer in quest’anno, con Jamf che riporta un incremento del 28% solo nel 2025.

La scoperta giunge a seguito di recenti attacchi focalizzati su npm, in cui pacchetti malevoli come colortoolsv2 e mimelib2 hanno utilizzato smart contract Ethereum per nascondere malware di seconda fase. In entrambi i casi, gli attaccanti hanno sfruttato tecniche di offuscamento e infrastrutture di sviluppatori affidabili per eludere la rilevazione.

ModStealer estende questo schema oltre i repository di pacchetti, dimostrando come i criminali informatici stiano intensificando le loro tecniche attraverso gli ecosistemi per compromettere gli ambienti di sviluppo e colpire direttamente i portafogli crypto.