Une porte dérobée dans VS Code, au sein d’un projet Solidity, cible les données crypto
SlowMist a découvert une porte dérobée destinée au vol de données dans le dépôt GitHub Hylance/sol-live, présenté comme un projet d’entraînement aux entretiens Solidity. Le code malveillant est dissimulé dans les paramètres de l’espace de travail de VS Code et peut s’exécuter lorsque les utilisateurs sélectionnent la configuration de terminal personnalisée du projet. Sur macOS et Linux, il télécharge et exécute un script distant. Son fonctionnement sous Windows n’est pas confirmé, en raison d’une possible erreur dans l’utilisation des guillemets.
L’analyse du code archivé et des charges utiles conservées a révélé des capacités de collecte des bases de données de connexion des navigateurs et des données des extensions de portefeuille, de copie des fichiers Keychain de macOS, d’analyse et d’envoi de fichiers locaux, de surveillance du contenu du presse-papiers et d’exécution de commandes via un canal de contrôle à distance. La fonction censée déchiffrer les mots de passe du navigateur renvoie une valeur vide. Les enquêteurs n’ont pas vérifié que des mots de passe, des phrases de récupération ou des clés privées avaient été déchiffrés ou volés. Ils n’ont pas non plus exécuté l’échantillon ni confirmé des infections ou des exfiltrations de données depuis les appareils de victimes.
SlowMist conseille aux utilisateurs ayant lancé la configuration de terminal malveillante du projet d’examiner leurs appareils. Si une exposition ne peut être exclue, ils devraient transférer les actifs de leur portefeuille et renouveler leurs identifiants depuis un appareil de confiance. Cet incident met en évidence les risques liés à la chaîne d’approvisionnement logicielle pour les développeurs crypto : il n’est pas établi que la simple ouverture du dépôt déclenche la porte dérobée.
Neutral
Le rapport met en évidence un risque de sécurité sérieux pour les développeurs individuels et les utilisateurs de cryptomonnaies, mais il ne démontre ni une compromission à l’échelle du marché, ni un nombre confirmé de victimes, ni des pertes de fonds vérifiées. L’analyse s’appuyait sur du code archivé et des charges utiles conservées ; les chercheurs n’ont pas exécuté le logiciel malveillant et n’ont pas confirmé que des secrets de portefeuille avaient été déchiffrés ou volés. La routine de déchiffrement des mots de passe du navigateur renverrait une valeur vide, ce qui limite encore davantage les affirmations concernant ce que les attaquants ont réellement obtenu.
À court terme, les développeurs concernés peuvent examiner les journaux des terminaux et du réseau, renouveler leurs identifiants, migrer leurs portefeuilles à partir d’appareils de confiance et révoquer les autorisations de contrat risquées. Ces précautions ciblées pourraient susciter une inquiétude limitée chez les utilisateurs du dépôt mentionné ou de projets associés, mais l’article ne fournit aucune preuve de perturbations plus larges du trading de cryptomonnaies, des opérations des plateformes d’échange ou des réseaux blockchain. Les révélations concernant des logiciels malveillants similaires visant les outils de développement et la chaîne d’approvisionnement ont généralement entraîné des contrôles de sécurité et une vigilance accrue, plutôt que des variations durables des cours des principales cryptomonnaies, sauf lorsqu’elles ont été suivies de vols d’actifs à grande échelle confirmés.
À plus long terme, l’incident pourrait inciter à examiner plus strictement les paramètres des espaces de travail de VS Code et les autres configurations de développement, ainsi qu’à améliorer l’analyse des dépôts à la recherche de logiciels malveillants. Les traders devraient surveiller les infections confirmées, les actifs volés ou les campagnes plus vastes avant de considérer cet incident comme un catalyseur de marché. Au vu des informations disponibles, l’effet probable est une préoccupation de sécurité circonscrite plutôt qu’un signal indiquant une direction pour les cours des cryptomonnaies.