威脅情報 PolinRider毒化Nova利用鏈上交易作C2管理

據慢霧官網消息，背景：樣本來自Laravel Nova擴展包visanduma/nova-two-factor的開發分支，與PolinRider活動相關。這是一個發布在Packagist上的PHP包，截至本次分析時累計下載量超過700,000次。投遞鏈未在樣本中嵌入C2地址。植入代碼首先査詢以太坊，從一筆交易的接收方地址中提取兩台服務器的IP，然後通過HTTP獲取後續載荷。如果攻擊者想要切換服務器，只需在鏈上發送一筆新交易，無需再次毒化該軟件包。此鏈的終端是一個跨平台憑據竊取程序，用於收集瀏覽器帳戶和Cookie、加密錢包數據、密碼管理器數據庫及開發者憑據。本次分析中獲取的遠程載荷是在該活動期間通過眞實請求檢索並離綫解碼的。解碼僅涉及XOR、zlib和base64轉換，未執行任何下載內容。分析結論基於靜態代碼和遠程響應，目前沒有証據來自。