Backdoor sa VS Code sa isang proyektong Solidity, tina-target ang datos ng crypto
Nakatuklas ang SlowMist ng backdoor na nagnanakaw ng data sa GitHub repository na Hylance/sol-live, na ipinakilala bilang proyektong pagsasanay para sa mga panayam sa Solidity. Nakatago ang mapaminsalang code sa mga setting ng VS Code workspace at maaari itong tumakbo kapag pinili ng mga user ang custom na terminal configuration ng proyekto. Sa macOS at Linux, nagda-download at nagpapatakbo ito ng malayuang script. Hindi pa kumpirmado ang pagtakbo nito sa Windows dahil sa posibleng pagkakamali sa paggamit ng mga panipi.
Sa pagsusuri ng naka-archive na code at mga natirang payload, natukoy ang mga kakayahang mangolekta ng mga database ng login sa browser at data mula sa mga wallet extension, kumopya ng mga macOS Keychain file, mag-scan at mag-upload ng mga lokal na file, magmonitor ng laman ng clipboard, at magpatakbo ng mga command sa pamamagitan ng remote-control channel. Walang laman ang ibinabalik ng function na dapat mag-decrypt ng mga password sa browser, at hindi napatunayan ng mga imbestigador na na-decrypt o ninakaw ang mga password, seed phrase, o private key. Hindi rin nila pinatakbo ang sample o kinumpirma ang mga impeksiyon o pagkuha ng data mula sa mga device ng biktima.
Ayon sa SlowMist, dapat siyasatin ng mga user na nagpatakbo ng mapaminsalang terminal configuration ng proyekto ang kanilang mga device. Kung hindi maaalis ang posibilidad na nalantad sila, dapat nilang ilipat ang mga asset sa wallet at palitan ang mga kredensyal gamit ang pinagkakatiwalaang device. Itinatampok ng insidente ang panganib sa supply chain ng software para sa mga crypto developer: hindi kumpirmadong sapat na ang pagbubukas lamang ng repository upang ma-trigger ang backdoor.
Neutral
Itinuturo ng ulat ang isang seryosong panganib sa seguridad para sa mga indibidwal na developer at gumagamit ng crypto, ngunit hindi nito pinatutunayan ang isang paglabag na sumaklaw sa buong merkado, ang kumpirmadong bilang ng mga biktima, o ang napatunayang pagkawala ng pondo. Batay ang pagsusuri sa naka-arkibong code at mga naitalang payload; hindi pinatakbo ng mga mananaliksik ang malware at hindi nila kinumpirmang na-decrypt o nanakaw ang mga lihim ng wallet. Iniulat ding walang laman ang ibinabalik ng routine para sa pag-decrypt ng mga password sa browser, kaya mas nalilimitahan ang mga pahayag tungkol sa aktuwal na nakuha ng mga umaatake.
Sa maikling panahon, maaaring suriin ng mga apektadong developer ang mga log ng endpoint at network, palitan ang mga kredensyal, ilipat ang mga wallet gamit ang mga pinagkakatiwalaang device, at bawiin ang mga mapanganib na pahintulot sa kontrata. Maaaring magdulot ang mga naka-target na pag-iingat na ito ng limitadong pag-aalala sa mga gumagamit ng nabanggit na repository o mga kaugnay na proyekto, ngunit walang ebidensiya sa artikulo ng mas malawak na pagkaantala sa kalakalan ng crypto, operasyon ng mga exchange, o mga blockchain network. Karaniwang nagdudulot ang mga pagsisiwalat tungkol sa kahalintulad na malware na tumatarget sa mga developer tool at supply chain ng mga pagsusuri sa seguridad at higit na pag-iingat, sa halip na matagalang pagbabago sa presyo ng mga pangunahing crypto asset—maliban kung masundan ito ng kumpirmadong pagnanakaw ng malaking halaga ng asset.
Sa mas mahabang panahon, maaaring maghikayat ang insidente ng mas mahigpit na pagsusuri sa mga setting ng workspace sa VS Code at iba pang configuration ng developer, pati na rin ng mas mahusay na pag-scan ng mga repository para sa malware. Dapat bantayan ng mga trader ang mga kumpirmadong impeksiyon, ninakaw na asset, o mas malawak na kampanya bago ito ituring na salik na makaaapekto sa merkado. Batay sa impormasyong makukuha sa ngayon, malamang na limitado ang epekto sa usaping pangseguridad, sa halip na maging hudyat ng direksiyon ng presyo ng crypto.