Hintertür in VS Code in einem Solidity-Projekt zielt auf Kryptodaten ab
SlowMist hat eine Hintertür zum Datendiebstahl im GitHub-Repository Hylance/sol-live entdeckt, das als Übungsprojekt für Solidity-Vorstellungsgespräche präsentiert wurde. Der Schadcode ist in den VS-Code-Workspace-Einstellungen versteckt und kann ausgeführt werden, wenn Nutzer die benutzerdefinierte Terminalkonfiguration des Projekts auswählen. Unter macOS und Linux lädt er ein Skript aus dem Internet herunter und führt es aus. Ob die Ausführung unter Windows funktioniert, ist wegen eines möglichen Fehlers bei der Verwendung von Anführungszeichen unbestätigt.
Die Analyse archivierten Codes und aufbewahrter Payloads ergab, dass die Schadsoftware Browser-Anmeldedatenbanken und Daten von Wallet-Erweiterungen sammeln, macOS-Keychain-Dateien kopieren, lokale Dateien durchsuchen und hochladen, den Inhalt der Zwischenablage überwachen und über einen Fernsteuerungskanal Befehle ausführen kann. Die Funktion zur Entschlüsselung von Browserpasswörtern gibt einen leeren Wert zurück. Die Ermittler konnten nicht bestätigen, dass Passwörter, Seed-Phrasen oder private Schlüssel entschlüsselt oder gestohlen wurden. Sie führten das Sample auch nicht aus und bestätigten weder Infektionen noch Datenabflüsse von Geräten Betroffener.
SlowMist rät Nutzern, die die schädliche Terminalkonfiguration des Projekts gestartet haben, ihre Geräte zu untersuchen. Lässt sich eine mögliche Gefährdung nicht ausschließen, sollten sie ihre Wallet-Vermögenswerte verschieben und ihre Zugangsdaten auf einem vertrauenswürdigen Gerät ändern. Der Vorfall verdeutlicht die Risiken in der Software-Lieferkette für Kryptoentwickler: Es ist nicht bestätigt, dass bereits das Öffnen des Repositorys die Hintertür auslöst.
Neutral
Der Bericht weist auf ein ernstes Sicherheitsrisiko für einzelne Entwickler und Kryptonutzer hin, belegt jedoch weder einen marktweiten Sicherheitsvorfall noch eine bestätigte Zahl von Opfern oder nachgewiesene finanzielle Verluste. Die Analyse stützte sich auf archivierten Code und gespeicherte Payloads; die Forschenden führten die Schadsoftware nicht aus und bestätigten nicht, dass Wallet-Geheimnisse entschlüsselt oder gestohlen wurden. Berichten zufolge gibt die Routine zur Entschlüsselung von Browserpasswörtern einen leeren Wert zurück. Das schränkt die Aussagen darüber, was Angreifer tatsächlich erlangt haben, zusätzlich ein.
Kurzfristig können betroffene Entwickler Protokolle von Endpunkten und Netzwerken überprüfen, Zugangsdaten ändern, Wallets mithilfe vertrauenswürdiger Geräte migrieren und riskante Vertragsfreigaben widerrufen. Solche gezielten Vorsichtsmaßnahmen könnten bei Nutzern des genannten Repositorys oder verwandter Projekte begrenzte Besorgnis auslösen. Der Artikel liefert jedoch keine Belege für umfassendere Störungen des Kryptohandels, des Börsenbetriebs oder von Blockchain-Netzwerken. Veröffentlichungen über ähnliche Schadsoftware, die Entwicklertools und Lieferketten ins Visier nimmt, haben im Allgemeinen Sicherheitsprüfungen und erhöhte Vorsicht zur Folge, nicht aber anhaltende Veränderungen der Kurse großer Kryptowährungen – es sei denn, es kommt anschließend zu bestätigten Diebstählen von Vermögenswerten in großem Umfang.
Langfristig könnte der Vorfall zu einer strengeren Prüfung der VS-Code-Arbeitsbereichseinstellungen und anderer Entwicklerkonfigurationen sowie zu besseren Malware-Scans von Repositorys führen. Händler sollten bestätigte Infektionen, gestohlene Vermögenswerte oder umfassendere Kampagnen beobachten, bevor sie den Vorfall als Marktkatalysator betrachten. Nach den verfügbaren Informationen ist eher mit einem begrenzten Sicherheitsproblem als mit einem richtungsweisenden Signal für Kryptokurse zu rechnen.