O ușă din spate în VS Code, într-un proiect Solidity, vizează date despre criptomonede
SlowMist a descoperit un backdoor care fură date în depozitul GitHub Hylance/sol-live, prezentat drept proiect de exercițiu pentru interviuri Solidity. Codul malițios este ascuns în setările spațiului de lucru din VS Code și se poate executa atunci când utilizatorii selectează configurația personalizată de terminal a proiectului. Pe macOS și Linux, acesta descarcă și execută un script de la distanță; executarea pe Windows nu a fost confirmată din cauza unei posibile erori legate de ghilimele.
Analiza codului arhivat și a payloadurilor păstrate a identificat capacități de colectare a bazelor de date cu datele de autentificare din browsere și a datelor extensiilor de portofel, de copiere a fișierelor macOS Keychain, de scanare și încărcare a fișierelor locale, de monitorizare a conținutului clipboardului și de executare a comenzilor printr-un canal de control de la distanță. Funcția de decriptare a parolelor din browser returnează o valoare goală, iar anchetatorii nu au verificat dacă parolele, frazele-seed sau cheile private au fost decriptate ori furate. De asemenea, nu au executat mostra și nu au confirmat infectarea dispozitivelor victimelor sau exfiltrarea datelor de pe acestea.
SlowMist recomandă utilizatorilor care au lansat configurația malițioasă de terminal a proiectului să își verifice dispozitivele și, dacă nu pot exclude o posibilă expunere, să transfere activele din portofele și să își schimbe datele de autentificare folosind un dispozitiv de încredere. Incidentul evidențiază riscurile lanțului de aprovizionare software pentru dezvoltatorii din domeniul cripto: nu s-a confirmat că simpla deschidere a depozitului declanșează backdoorul.
Neutral
Raportul semnalează un risc grav de securitate pentru dezvoltatorii individuali și utilizatorii de criptomonede, dar nu demonstrează existența unei breșe la nivelul întregii piețe și nici nu confirmă numărul victimelor sau pierderea de fonduri. Analiza s-a bazat pe cod arhivat și payload-uri păstrate; cercetătorii nu au rulat malware-ul și nu au confirmat că secretele portofelelor au fost decriptate sau furate. Se pare că rutina de decriptare a parolelor din browser returnează o valoare goală, ceea ce limitează și mai mult afirmațiile despre ceea ce au obținut efectiv atacatorii.
Pe termen scurt, dezvoltatorii afectați pot verifica jurnalele endpointurilor și ale rețelei, își pot schimba datele de autentificare, își pot muta portofelele folosind dispozitive de încredere și pot revoca permisiunile riscante acordate contractelor. Aceste măsuri de precauție specifice ar putea provoca o îngrijorare limitată în rândul utilizatorilor depozitului menționat sau ai proiectelor conexe, însă articolul nu oferă dovezi privind perturbări mai ample ale tranzacționării criptomonedelor, operațiunilor burselor sau rețelelor blockchain. Dezvăluirile similare privind malware-ul care vizează instrumentele de dezvoltare și lanțul de aprovizionare au dus, în general, la verificări de securitate și la o prudență sporită, nu la modificări susținute ale prețurilor principalelor criptomonede, cu excepția cazurilor în care au fost urmate de furturi de active confirmate și de amploare.
Pe termen lung, incidentul ar putea încuraja verificări mai stricte ale setărilor spațiilor de lucru VS Code și ale altor configurații pentru dezvoltatori, precum și o scanare mai eficientă a depozitelor pentru identificarea malware-ului. Traderii ar trebui să urmărească eventualele infecții confirmate, active furate sau campanii mai ample înainte de a considera incidentul un catalizator de piață. Pe baza informațiilor disponibile, efectul probabil este o problemă de securitate limitată, nu un semnal direcțional pentru prețurile criptomonedelor.