Бэкдор в VS Code в проекте на Solidity нацелен на данные о криптовалютах
SlowMist обнаружила бэкдор для кражи данных в репозитории GitHub Hylance/sol-live, представленном как учебный проект для подготовки к собеседованиям по Solidity. Вредоносный код скрыт в настройках рабочей области VS Code и может запускаться, когда пользователи выбирают специально настроенную конфигурацию терминала проекта. В macOS и Linux он загружает и запускает удалённый скрипт; запуск в Windows не подтверждён из-за возможной ошибки в кавычках.
Анализ архивного кода и сохранившихся полезных нагрузок выявил возможности собирать базы данных учётных записей браузеров и данные расширений кошельков, копировать файлы Связки ключей macOS, сканировать и загружать локальные файлы, отслеживать содержимое буфера обмена и выполнять команды через канал удалённого управления. Функция расшифровки паролей браузера возвращает пустое значение, а исследователи не подтвердили, что пароли, сид-фразы или закрытые ключи были расшифрованы или похищены. Они также не запускали образец и не подтвердили заражение устройств жертв или утечку данных с них.
SlowMist рекомендует пользователям, запускавшим вредоносную конфигурацию терминала проекта, проверить свои устройства и, если исключить возможную утечку нельзя, перевести активы кошельков и сменить учётные данные с помощью доверенного устройства. Этот инцидент подчёркивает риски атак через цепочку поставок ПО для разработчиков криптопроектов: не подтверждено, что одного лишь открытия репозитория достаточно для запуска бэкдора.
Neutral
В отчёте говорится о серьёзном риске для безопасности отдельных разработчиков и пользователей криптовалют, однако он не доказывает наличие масштабного взлома, затронувшего весь рынок, и не подтверждает ни число пострадавших, ни факт потери средств. Анализ проводился на основе архивного кода и сохранённых полезных нагрузок; исследователи не запускали вредоносную программу и не подтвердили, что секреты кошельков были расшифрованы или похищены. По имеющимся сведениям, процедура расшифровки паролей браузера возвращает пустое значение, что ещё сильнее ограничивает выводы о том, что именно удалось получить злоумышленникам.
В краткосрочной перспективе затронутые разработчики могут проверить журналы устройств и сети, сменить учётные данные, перенести кошельки с использованием доверенных устройств и отозвать рискованные разрешения для смарт-контрактов. Такие адресные меры предосторожности могут вызвать ограниченное беспокойство у пользователей упомянутого репозитория или связанных с ним проектов, однако в статье нет свидетельств более широких нарушений торговли криптовалютами, работы бирж или блокчейн-сетей. Подобные сообщения о вредоносных программах, нацеленных на инструменты разработки и цепочки поставок, обычно приводили к проверкам безопасности и повышенной осторожности, а не к длительным изменениям цен на основные криптовалюты, если за ними не следовали подтверждённые масштабные хищения активов.
В долгосрочной перспективе этот инцидент может способствовать более строгой проверке настроек рабочих пространств VS Code и других конфигураций разработчиков, а также улучшению сканирования репозиториев на наличие вредоносного ПО. Прежде чем считать это рыночным катализатором, трейдерам следует следить за подтверждёнными заражениями, хищениями активов или более масштабными кампаниями. Судя по имеющейся информации, вероятный эффект — ограниченная проблема безопасности, а не сигнал, указывающий на направление движения цен криптовалют.