Bakdörr i VS Code i Solidity-projekt riktar in sig på kryptodata
SlowMist hittade en bakdörr för datastöld i GitHub-arkivet Hylance/sol-live, som presenterades som ett projekt för att öva på Solidity-intervjuer. Den skadliga koden är dold i VS Code-arbetsytans inställningar och kan köras när användare väljer projektets anpassade terminalkonfiguration. På macOS och Linux laddar den ned och kör ett fjärrskript. Det är fortfarande oklart om den kan köras på Windows, eftersom det kan finnas ett fel i citeringen.
En analys av arkiverad kod och bevarade nyttolaster visade att funktionerna omfattar insamling av webbläsarnas inloggningsdatabaser och data från plånbokstillägg, kopiering av macOS-nyckelringsfiler, genomsökning och uppladdning av lokala filer, övervakning av innehållet i urklipp samt körning av kommandon via en fjärrstyrningskanal. Funktionens kod för att dekryptera webbläsarlösenord returnerar ett tomt värde, och utredarna kunde inte verifiera att lösenord, seedfraser eller privata nycklar dekrypterades eller stals. De körde inte heller själva provet och bekräftade varken infektioner eller dataexfiltrering från drabbade enheter.
SlowMist uppmanar användare som har startat projektets skadliga terminalkonfiguration att undersöka sina enheter och, om exponering inte kan uteslutas, flytta sina kryptotillgångar och byta inloggningsuppgifter från en betrodd enhet. Händelsen belyser riskerna i programvarans leveranskedja för kryptoutvecklare: det är inte bekräftat att bakdörren aktiveras enbart genom att öppna arkivet.
Neutral
Rapporten pekar på en allvarlig säkerhetsrisk för enskilda utvecklare och krypt användare, men den fastställer inte något intrång som omfattar hela marknaden, något bekräftat antal drabbade eller några verifierade förluster av tillgångar. Analysen byggde på arkiverad kod och sparade nyttolaster; forskarna körde inte skadeprogrammet och bekräftade inte att plånbokshemligheter dekrypterades eller stals. Rutinen för dekryptering av webbläsarlösenord uppges dessutom returnera ett tomt värde, vilket ytterligare begränsar påståendena om vad angriparna faktiskt kom över.
På kort sikt kan berörda utvecklare granska loggar från slutpunkter och nätverk, byta autentiseringsuppgifter, flytta plånböcker från betrodda enheter och återkalla riskabla kontraktsgodkännanden. Sådana riktade försiktighetsåtgärder kan väcka viss oro bland användare av det namngivna kodarkivet eller relaterade projekt, men artikeln ger inga belägg för bredare störningar i kryptohandel, börsverksamhet eller blockkedjenätverk. Avslöjanden om liknande skadeprogram riktade mot utvecklarverktyg och leveranskedjor har i allmänhet lett till säkerhetskontroller och ökad försiktighet snarare än bestående förändringar i större kryptotillgångars priser, såvida de inte följts av bekräftade stölder av tillgångar i stor skala.
På längre sikt kan händelsen leda till striktare granskning av arbetsyteinställningar i VS Code och andra utvecklarkonfigurationer, liksom bättre skanning av kodarkiv efter skadeprogram. Handlare bör invänta bekräftade infektioner, stulna tillgångar eller bredare kampanjer innan de betraktar detta som en marknadsdrivande faktor. Utifrån tillgänglig information är den sannolika effekten en begränsad säkerhetsoro snarare än en riktningssignal för kryptopriser.