תוקפים פרסמו גרסאות זדוניות של שני כלים ברשת האחסון המבוזרת Swarm דרך אוטומציית השחרור של הפרויקט עצמו. הן גונבות מפתחות ארנק ומתקינות גישה מרחוק.
הפרטים
לפי The Hacker News, חבילת @ethersphere/bee-js 13.3.0 הייתה זמינה ב-npm כ-75 דקות (00:09 עד 01:25 UTC) והריצה קוד ב-postinstall. Swarm Desktop 0.56.2 הופיעה ב-GitHub והוסרה כ-8.5 שעות לאחר מכן; מנגנון העדכון יכול היה להציע אותה ל-Windows x64 ול-Mac עם Apple Silicon. שתיהן פורסמו דרך חשבון האוטומציה bee-worker, ולפי הדיווח כנראה בעזרת אישורי CI גנובים.
הטוען מוריד קוד נוסף משרת חיצוני, שולח את קובצי המפתח וההגדרות של הצומת (הסיסמה שמורה שם בטקסט גלוי), ומתקין דלת אחורית. מספר ההורדות שדווח קטן — כ-10 ל-bee-js ו-65 ל-Swarm Desktop עד 08:27 UTC. הפעילות קושרה ל-SleepyDuck על סמך תשתית משותפת.
נקודות לשים לב
- חפש בקובצי נעילה, מטמונים ולוגי CI את
@ethersphere/[email protected]. נעץ ל-13.2.0; אם הגרסה רצה עם סקריפטי התקנה — התייחס למכונה או לרצן כחשופים וסובב את כל האישורים שהיו נגישים לו. - ב-Swarm Desktop בדוק ב-
bee-desktop.logאם רצה גרסה 0.56.2. אם כן, הנח שהמפתח והסיסמה נגנבו והעבר כספים למפתח חדש ממכונה נקייה. הגרסה הנקייה היא 0.56.3. - הסרת התוכנה אינה מנקה את הדלת האחורית: חפש את
~/.solidity/, שירותsolidity-langsupport-runner(לינוקס),LaunchAgentבשםcom.solidity.langsupport.runner(מק) ושירות ScreenConnect חשוד ב-Windows. עדיף לבנות מחדש מתמונה אמינה. - הלקח: גם provenance תקין של חבילה אינו מבטיח נקיון כשהתוקף שולט בתהליך הבנייה.
מקורות: Socket · GitHub Advisory · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
