Backdoor w VS Code w projekcie Solidity atakuje dane o kryptowalutach
SlowMist wykrył backdoora wykradającego dane w repozytorium GitHub Hylance/sol-live, przedstawianym jako projekt do ćwiczenia rozmów kwalifikacyjnych z Solidity. Złośliwy kod ukryto w ustawieniach obszaru roboczego VS Code i może on zostać uruchomiony, gdy użytkownik wybierze niestandardową konfigurację terminala projektu. W systemach macOS i Linux pobiera on zdalny skrypt i go uruchamia; działanie w systemie Windows nie zostało potwierdzone ze względu na możliwy błąd związany z cudzysłowami.
Analiza zarchiwizowanego kodu i zachowanych ładunków wykazała możliwości gromadzenia baz danych logowania przeglądarek i danych rozszerzeń portfeli, kopiowania plików pęku kluczy macOS, skanowania i przesyłania lokalnych plików, monitorowania zawartości schowka oraz wykonywania poleceń za pośrednictwem kanału zdalnego sterowania. Funkcja odszyfrowywania haseł przeglądarki zwraca pustą wartość, a badacze nie potwierdzili, że hasła, frazy seed ani klucze prywatne zostały odszyfrowane lub skradzione. Nie uruchomili też próbki ani nie potwierdzili infekcji urządzeń ofiar lub eksfiltracji z nich danych.
SlowMist zaleca użytkownikom, którzy uruchomili złośliwą konfigurację terminala projektu, zbadanie swoich urządzeń, a jeśli nie można wykluczyć ujawnienia danych — przeniesienie środków z portfeli i zmianę danych logowania przy użyciu zaufanego urządzenia. Incydent uwidacznia ryzyko związane z łańcuchem dostaw oprogramowania dla twórców projektów kryptowalutowych: nie potwierdzono, że samo otwarcie repozytorium uruchamia backdoora.
Neutral
Raport wskazuje na poważne zagrożenie dla bezpieczeństwa indywidualnych programistów i użytkowników kryptowalut, ale nie dowodzi, że doszło do naruszenia obejmującego cały rynek, ani nie potwierdza liczby ofiar czy utraty środków. Analiza opierała się na zarchiwizowanym kodzie i zachowanych ładunkach; badacze nie uruchomili złośliwego oprogramowania ani nie potwierdzili, że tajne dane portfeli zostały odszyfrowane lub skradzione. Zgłaszana procedura odszyfrowywania haseł przeglądarki zwraca pustą wartość, co dodatkowo ogranicza twierdzenia na temat tego, co faktycznie uzyskali atakujący.
W krótkim terminie zagrożeni programiści mogą przejrzeć logi urządzeń końcowych i sieci, zmienić dane uwierzytelniające, przenieść portfele za pomocą zaufanych urządzeń oraz cofnąć ryzykowne uprawnienia przyznane kontraktom. Te ukierunkowane środki ostrożności mogą wywołać pewien niepokój wśród użytkowników wymienionego repozytorium lub powiązanych projektów, ale artykuł nie przedstawia dowodów na szersze zakłócenia w handlu kryptowalutami, działalności giełd ani funkcjonowaniu sieci blockchain. Podobne doniesienia o złośliwym oprogramowaniu wymierzonym w narzędzia programistyczne i łańcuch dostaw zwykle prowadziły do kontroli bezpieczeństwa i większej ostrożności, a nie do utrzymujących się zmian cen największych kryptowalut — chyba że następowały po nich potwierdzone kradzieże aktywów na dużą skalę.
W dłuższej perspektywie incydent może skłonić do dokładniejszego sprawdzania ustawień obszarów roboczych VS Code i innych konfiguracji programistycznych, a także do lepszego skanowania repozytoriów w poszukiwaniu złośliwego oprogramowania. Zanim traderzy uznają to za czynnik wpływający na rynek, powinni obserwować potwierdzone infekcje, skradzione aktywa lub szersze kampanie. Na podstawie dostępnych informacji najbardziej prawdopodobnym skutkiem jest ograniczone zagrożenie bezpieczeństwa, a nie sygnał wskazujący kierunek zmian cen kryptowalut.