Бекдор у VS Code у проєкті Solidity націлений на дані про криптовалюти
SlowMist виявила бекдор для викрадення даних у репозиторії GitHub Hylance/sol-live, який представлено як навчальний проєкт для підготовки до співбесід із Solidity. Шкідливий код приховано в налаштуваннях робочого простору VS Code; він може запускатися, коли користувачі вибирають спеціальну конфігурацію термінала проєкту. У macOS і Linux код завантажує та виконує віддалений скрипт. Виконання у Windows не підтверджено через можливу помилку з лапками.
Аналіз архівного коду та збережених корисних навантажень виявив можливості збирати бази даних облікових записів браузерів і дані розширень гаманців, копіювати файли macOS Keychain, сканувати й завантажувати локальні файли, стежити за вмістом буфера обміну та виконувати команди через канал віддаленого керування. Функція розшифрування паролів браузера повертає порожнє значення, а дослідники не підтвердили, що паролі, сід-фрази чи приватні ключі було розшифровано або викрадено. Вони також не запускали зразок і не підтвердили зараження пристроїв жертв чи викрадення даних із них.
SlowMist радить користувачам, які запускали шкідливу конфігурацію термінала проєкту, перевірити свої пристрої та, якщо можливість витоку не можна виключити, переказати активи з гаманців і змінити облікові дані за допомогою надійного пристрою. Цей інцидент підкреслює ризик атак через ланцюг постачання програмного забезпечення для розробників криптопроєктів: не підтверджено, що сам факт відкриття репозиторію запускає бекдор.
Neutral
У звіті йдеться про серйозний ризик для безпеки окремих розробників і користувачів криптовалют, однак він не доводить наявності зламу, що охопив увесь ринок, і не підтверджує ані кількість постраждалих, ані втрату коштів. Аналіз ґрунтувався на архівному коді та збережених корисних навантаженнях; дослідники не запускали шкідливе програмне забезпечення й не підтвердили, що секрети гаманців було розшифровано або викрадено. За повідомленнями, процедура розшифрування паролів браузера повертає порожнє значення, що ще більше обмежує твердження про те, що саме насправді отримали зловмисники.
У короткостроковій перспективі розробники, яких це стосується, можуть перевірити журнали кінцевих пристроїв і мережі, змінити облікові дані, перенести гаманці за допомогою надійних пристроїв і відкликати ризиковані дозволи для контрактів. Такі цільові запобіжні заходи можуть викликати обмежене занепокоєння серед користувачів згаданого репозиторію або пов’язаних проєктів, але стаття не містить доказів ширших перебоїв у торгівлі криптовалютами, роботі бірж чи блокчейн-мереж. Подібні повідомлення про шкідливе програмне забезпечення, спрямоване на інструменти розробки та ланцюги постачання, зазвичай призводили до перевірок безпеки й підвищеної обережності, а не до тривалих змін цін на основні криптовалюти, якщо за ними не слідували підтверджені масштабні викрадення активів.
У довгостроковій перспективі цей інцидент може сприяти ретельнішій перевірці налаштувань робочих просторів VS Code та інших конфігурацій розробників, а також поліпшенню сканування репозиторіїв на наявність шкідливого програмного забезпечення. Перш ніж вважати це чинником впливу на ринок, трейдерам варто стежити за підтвердженими зараженнями, викраденими активами або масштабнішими кампаніями. З огляду на наявну інформацію, найімовірніший наслідок — обмежене занепокоєння щодо безпеки, а не сигнал про напрямок руху цін на криптовалюти.