Achterdeur in VS Code in Solidity-project richt zich op cryptodata
SlowMist heeft een achterdeur voor gegevensdiefstal ontdekt in de GitHub-repository Hylance/sol-live, die wordt gepresenteerd als een oefenproject voor Solidity-sollicitatiegesprekken. De schadelijke code is verborgen in de instellingen van de VS Code-werkruimte en kan worden uitgevoerd wanneer gebruikers de aangepaste terminalconfiguratie van het project selecteren. Op macOS en Linux downloadt en voert de code een extern script uit; uitvoering op Windows is niet bevestigd vanwege een mogelijke fout met aanhalingstekens.
Uit analyse van gearchiveerde code en bewaarde payloads bleek dat de code browserdatabases met inloggegevens en gegevens van wallet-extensies kan verzamelen, macOS-sleutelhangerbestanden kan kopiëren, lokale bestanden kan scannen en uploaden, de inhoud van het klembord kan volgen en opdrachten kan uitvoeren via een kanaal voor externe besturing. De functie voor het ontsleutelen van browserwachtwoorden retourneert een lege waarde. Onderzoekers hebben niet vastgesteld dat wachtwoorden, seedzinnen of privésleutels zijn ontsleuteld of gestolen. Ze hebben het voorbeeld ook niet uitgevoerd en geen infecties of gegevensdiefstal vanaf apparaten van slachtoffers bevestigd.
SlowMist adviseert gebruikers die de schadelijke terminalconfiguratie van het project hebben gestart hun apparaten te onderzoeken en, als mogelijke blootstelling niet kan worden uitgesloten, hun wallettegoeden over te zetten en inloggegevens te wijzigen met een vertrouwd apparaat. Het incident onderstreept de risico's van de softwaretoeleveringsketen voor cryptontwikkelaars: er is niet bevestigd dat alleen het openen van de repository de achterdeur activeert.
Neutral
Het rapport wijst op een ernstig veiligheidsrisico voor individuele ontwikkelaars en cryptogebruikers, maar toont geen inbreuk aan die de hele markt raakt en bevestigt evenmin het aantal slachtoffers of het verlies van geld. De analyse was gebaseerd op gearchiveerde code en bewaarde payloads; de onderzoekers hebben de malware niet uitgevoerd en niet bevestigd dat walletgeheimen zijn ontsleuteld of gestolen. De decryptieroutine voor browserwachtwoorden zou een lege waarde retourneren, wat de beweringen over wat aanvallers daadwerkelijk hebben verkregen verder beperkt.
Op korte termijn kunnen getroffen ontwikkelaars endpoint- en netwerklogboeken controleren, inloggegevens wijzigen, wallets met behulp van vertrouwde apparaten migreren en risicovolle contracttoestemmingen intrekken. Deze gerichte voorzorgsmaatregelen kunnen enige ongerustheid veroorzaken bij gebruikers van de genoemde repository of verwante projecten, maar het artikel biedt geen bewijs voor een bredere verstoring van de cryptohandel, de activiteiten van exchanges of blockchainnetwerken. Vergelijkbare onthullingen over malware voor ontwikkeltools en de toeleveringsketen hebben doorgaans geleid tot veiligheidscontroles en grotere voorzichtigheid, niet tot aanhoudende veranderingen in de prijzen van grote cryptovaluta — tenzij ze werden gevolgd door bevestigde, grootschalige diefstal van activa.
Op langere termijn kan het incident aanzetten tot strengere controles van VS Code-workspace-instellingen en andere ontwikkelaarsconfiguraties, evenals betere malwarescans van repositories. Handelaren moeten letten op bevestigde besmettingen, gestolen activa of bredere campagnes voordat ze dit als een marktimpuls beschouwen. Op basis van de beschikbare informatie is het waarschijnlijke effect een beperkt veiligheidsprobleem, geen richtinggevend signaal voor cryptoprijzen.