Solidity-projektin VS Code -takaovi tavoittelee kryptotietoja
SlowMist havaitsi tietoja varastavan takaoven GitHub-repositoriossa Hylance/sol-live, jota esitellään Solidity-työhaastatteluihin valmistavana harjoitusprojektina. Haitallinen koodi on piilotettu VS Coden työtilan asetuksiin, ja se voi käynnistyä, kun käyttäjä valitsee projektin mukautetun pääteasetuksen. macOS- ja Linux-järjestelmissä se lataa etäskriptin ja suorittaa sen. Windowsissa suorittamista ei ole vahvistettu mahdollisen lainausmerkkivirheen vuoksi.
Arkistoidun koodin ja säilyneiden haittaohjelmakomponenttien analyysi paljasti ominaisuuksia, joilla voidaan kerätä selainten kirjautumistietokantoja ja lompakkolaajennusten tietoja, kopioida macOS Keychain -tiedostoja, etsiä ja ladata paikallisia tiedostoja, seurata leikepöydän sisältöä sekä suorittaa komentoja etähallintakanavan kautta. Selaimen salasanojen purkutoiminto palauttaa tyhjän arvon, eivätkä tutkijat vahvistaneet, että salasanoja, siemenlauseita tai yksityisiä avaimia olisi purettu tai varastettu. He eivät myöskään suorittaneet näytettä eivätkä vahvistaneet uhrien laitteiden tartuntoja tai tietojen vuotamista niiltä.
SlowMist kehottaa projektin haitallisen pääteasetuksen käynnistäneitä käyttäjiä tutkimaan laitteensa. Jos altistumisen mahdollisuutta ei voida sulkea pois, lompakkovarat tulee siirtää ja kirjautumistiedot vaihtaa luotettavalla laitteella. Tapaus korostaa ohjelmistojen toimitusketjuriskiä kryptoalan kehittäjille: pelkän repositorion avaamisen ei ole vahvistettu käynnistävän takaovea.
Neutral
Raportissa tuodaan esiin vakava tietoturvariski yksittäisille kehittäjille ja kryptovaluuttojen käyttäjille, mutta siinä ei osoiteta koko markkinaa koskevaa tietomurtoa eikä vahvisteta uhrien määrää tai varojen menetyksiä. Analyysi perustui arkistoituun koodiin ja talteen otettuihin payload-tiedostoihin; tutkijat eivät suorittaneet haittaohjelmaa eivätkä vahvistaneet, että lompakoiden salaisuuksia olisi purettu tai varastettu. Raportin mukaan selaimen salasanojen salauksenpurkurutiini palauttaa tyhjän arvon, mikä rajoittaa entisestään väitteitä siitä, mitä hyökkääjät todella saivat haltuunsa.
Lyhyellä aikavälillä vaikutusten kohteena olevat kehittäjät voivat tarkastaa päätepisteiden ja verkon lokit, vaihtaa tunnistetiedot, siirtää lompakot luotetuilla laitteilla ja peruuttaa riskialttiit sopimusvaltuutukset. Tällaiset kohdennetut varotoimet voivat aiheuttaa rajallista huolta nimetyn repositorion tai siihen liittyvien projektien käyttäjien keskuudessa, mutta artikkelissa ei esitetä näyttöä laajemmista häiriöistä kryptovaluuttakaupankäynnissä, pörssien toiminnassa tai lohkoketjuverkoissa. Vastaavat kehitystyökaluja ja toimitusketjuja koskevat haittaohjelmapaljastukset ovat yleensä johtaneet tietoturvatarkastuksiin ja lisääntyneeseen varovaisuuteen eivätkä suurten kryptovaluuttojen hintojen pitkäkestoisiin muutoksiin, ellei niitä ole seurannut vahvistettu laajamittainen omaisuusvarkaus.
Pidemmällä aikavälillä tapaus voi kannustaa tarkistamaan VS Coden työtilojen asetuksia ja muita kehittäjien määrityksiä aiempaa tiukemmin sekä parantamaan haittaohjelmien etsintää repositorioista. Kauppiaiden kannattaa seurata vahvistettuja tartuntoja, varastettuja varoja tai laajempia kampanjoita, ennen kuin he pitävät tätä markkinoita liikuttavana tekijänä. Käytettävissä olevien tietojen perusteella todennäköinen vaikutus on rajattu tietoturvahuoli, ei kryptovaluuttojen hintasuuntaa ennakoiva signaali.