שתי גרסאות של פרויקט Ethersphere פורסמו עם קוד זדוני: bee-js 13.3.0 ב-npm ו-Swarm Desktop 0.56.2. שתיהן יצאו דרך אוטומציית השחרור של הפרויקט, וגונבות מפתחות ארנק ומתקינות דלת אחורית.
הפרטים
לפי הדיווחים, bee-js 13.3.0 הייתה זמינה כשעה וחצי ב-9 בנובמבר ומריצה סקריפט postinstall. Swarm Desktop 0.56.2 הופיעה ב-GitHub ונמשכה כ-8.5 שעות אחר כך; מנגנון העדכון האוטומטי עלול היה להציע אותה למשתמשי Windows ו-Mac עם Apple Silicon.
הנוזקה מורידה קוד נוסף, שולחת לתוקפים את הקובץ config.yaml ואת מאגר המפתחות, ומתקינה דלת אחורית. מכיוון שהסיסמה נשמרת ב-config.yaml בטקסט גלוי, שני הקבצים יחד חושפים את ארנק הצומת. מתחזקי הפרויקט מייחסים את הפריצה לגניבת אישורי CI; כיצד נגנבו עדיין לא ברור. החבילה נשאה provenance תקין משום שתהליך הפרסום לא דרש אישור.
נקודות לשים לב
- חפש ב-lockfiles, במטמונים וביומני CI את bee-js 13.3.0. נעץ גרסה 13.2.0; אם 13.3.0 הותקנה עם סקריפטי התקנה מופעלים, התייחס למכונה כנפרצה וסובב אישורים שהייתה לה גישה אליהם.
- משתמשי Swarm Desktop: חפש ב-
bee-desktop.logאת השורה של גרסה 0.56.2. אם רצה, התייחס למפתח ולסיסמה כגנובים והעבר נכסים למפתח חדש ממכונה נקייה, ועדכן ל-0.56.3. - עדכון או התקנה מחדש לא מסירים את הדלת האחורית. מומלץ לבנות מחדש מתמונה אמינה, או להסיר ידנית את
~/.solidity/, שירות systemd או LaunchAgent, ואת שירות ScreenConnect. - הלקח: provenance תקין ו-certificate חתום אינם מעידים על בטיחות כשתהליך השחרור עצמו נפרץ. דרוש אישור ידני לפרסום.
מקורות: The Hacker News · GitHub Advisory · Socket
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
