Puerta trasera en VS Code dentro de un proyecto Solidity apunta a datos de criptomonedas
SlowMist обнаружил бэкдор для кражи данных в репозитории GitHub Hylance/sol-live, который представлен как учебный проект для подготовки к собеседованиям по Solidity. Вредоносный код скрыт в настройках рабочей области VS Code и может запускаться, если пользователь выберет настроенную для проекта конфигурацию терминала. В macOS и Linux он загружает и запускает удалённый скрипт; запуск в Windows пока не подтверждён из-за возможной ошибки в кавычках.
Анализ архивного кода и сохранившихся полезных нагрузок выявил возможности собирать базы данных браузерных учётных записей и данные расширений криптокошельков, копировать файлы macOS Keychain, сканировать и загружать локальные файлы, отслеживать содержимое буфера обмена и выполнять команды через канал удалённого управления. Функция расшифровки браузерных паролей возвращает пустое значение, а исследователи не подтвердили, что пароли, сид-фразы или закрытые ключи были расшифрованы или похищены. Они также не запускали образец и не подтвердили заражение устройств жертв или утечку с них данных.
SlowMist рекомендует пользователям, запускавшим вредоносную конфигурацию терминала проекта, проверить свои устройства и, если исключить возможную утечку данных нельзя, перевести активы кошелька и сменить учётные данные с помощью доверенного устройства. Этот инцидент подчёркивает риски атак через цепочку поставок ПО для разработчиков криптопроектов: сам факт открытия репозитория не подтверждает запуск бэкдора.
Neutral
El informe señala un grave riesgo de seguridad para los desarrolladores individuales y los usuarios de criptomonedas, pero no demuestra que se haya producido una brecha que afecte a todo el mercado, ni confirma el número de víctimas o pérdidas de fondos. El análisis se basó en código archivado y cargas útiles conservadas; los investigadores no ejecutaron el malware ni confirmaron que se descifraran o robaran secretos de monederos. Según se informa, la rutina de descifrado de contraseñas del navegador devuelve un valor vacío, lo que limita aún más las afirmaciones sobre lo que realmente obtuvieron los atacantes.
A corto plazo, los desarrolladores afectados pueden revisar los registros de sus dispositivos y redes, cambiar sus credenciales, trasladar sus monederos desde dispositivos de confianza y revocar las autorizaciones de contratos arriesgadas. Estas precauciones específicas podrían generar cierta inquietud entre los usuarios del repositorio mencionado o de proyectos relacionados, pero el artículo no aporta pruebas de una perturbación más amplia del comercio de criptomonedas, las operaciones de los exchanges o las redes blockchain. Las revelaciones similares de malware dirigido a herramientas de desarrollo y a la cadena de suministro suelen haber provocado comprobaciones de seguridad y una mayor cautela, más que cambios sostenidos en los principales precios de las criptomonedas, salvo que vayan seguidas de robos de activos a gran escala confirmados.
A más largo plazo, el incidente podría impulsar revisiones más estrictas de la configuración de espacios de trabajo de VS Code y de otras configuraciones para desarrolladores, así como mejores análisis de malware en los repositorios. Los operadores deberían estar atentos a infecciones confirmadas, activos robados o campañas más amplias antes de considerar esto un catalizador del mercado. Con la información disponible, el efecto más probable es una preocupación de seguridad acotada, no una señal direccional para los precios de las criptomonedas.