Una backdoor in VS Code in un progetto Solidity prende di mira i dati sulle criptovalute
SlowMist ha individuato una backdoor progettata per sottrarre dati nel repository GitHub Hylance/sol-live, presentato come progetto di esercitazione per colloqui su Solidity. Il codice dannoso è nascosto nelle impostazioni dell'area di lavoro di VS Code e può essere eseguito quando gli utenti selezionano la configurazione personalizzata del terminale del progetto. Su macOS e Linux scarica ed esegue uno script remoto; l'esecuzione su Windows non è stata confermata a causa di un possibile errore di quoting.
L'analisi del codice archiviato e dei payload conservati ha rilevato funzionalità per raccogliere database di accesso dei browser e dati delle estensioni dei wallet, copiare i file del Portachiavi di macOS, scansionare e caricare file locali, monitorare il contenuto degli appunti ed eseguire comandi tramite un canale di controllo remoto. La funzione di decrittazione delle password del browser restituisce un valore vuoto e gli investigatori non hanno verificato che password, frasi seed o chiavi private siano state decrittate o sottratte. Inoltre, non hanno eseguito il campione né confermato infezioni o esfiltrazioni di dati dai dispositivi delle vittime.
SlowMist consiglia agli utenti che hanno avviato la configurazione dannosa del terminale del progetto di controllare i propri dispositivi e, se non è possibile escludere un'esposizione, di trasferire gli asset dei wallet e cambiare le credenziali utilizzando un dispositivo affidabile. L'incidente mette in evidenza i rischi della catena di approvvigionamento software per gli sviluppatori del settore crypto: non è stato confermato che la sola apertura del repository attivi la backdoor.
Neutral
Il rapporto segnala un grave rischio per la sicurezza dei singoli sviluppatori e degli utenti di criptovalute, ma non dimostra una violazione su scala di mercato, né conferma il numero di vittime o perdite di fondi. L’analisi si è basata su codice archiviato e payload conservati; i ricercatori non hanno eseguito il malware né confermato che i segreti dei wallet siano stati decrittati o rubati. A quanto riferito, la routine di decrittazione delle password del browser restituisce un valore vuoto, il che limita ulteriormente le affermazioni su ciò che gli aggressori abbiano effettivamente ottenuto.
Nel breve periodo, gli sviluppatori interessati possono esaminare i log di endpoint e rete, cambiare le credenziali, trasferire i wallet su dispositivi affidabili e revocare le autorizzazioni rischiose ai contratti. Queste precauzioni mirate potrebbero suscitare una certa preoccupazione tra gli utenti del repository citato o di progetti correlati, ma l’articolo non fornisce prove di ripercussioni più ampie sul trading di criptovalute, sulle operazioni degli exchange o sulle reti blockchain. Rivelazioni analoghe di malware per strumenti di sviluppo e per la supply chain hanno generalmente portato a controlli di sicurezza e a una maggiore prudenza, piuttosto che a variazioni durature dei principali prezzi delle criptovalute, a meno che non siano seguite da furti di asset confermati e su larga scala.
Nel lungo periodo, l’incidente potrebbe incentivare controlli più rigorosi sulle impostazioni degli spazi di lavoro di VS Code e su altre configurazioni degli sviluppatori, oltre a una migliore scansione dei repository alla ricerca di malware. Prima di considerarlo un fattore in grado di influenzare il mercato, gli operatori dovrebbero monitorare eventuali infezioni confermate, asset rubati o campagne più ampie. Sulla base delle informazioni disponibili, l’effetto probabile è una preoccupazione circoscritta per la sicurezza, non un’indicazione direzionale per i prezzi delle criptovalute.