Хакер использует смарт-контракты Ethereum для скрытия вредоносных программ: анализ новой угрозы

Исследовательская команда ReversingLabs недавно обнаружила атаку, использующую смарт-контракты Ethereum для скрытия URL вредоносных программ. Исследование показало, что злоумышленники используют npm пакеты colortoolv2 и mimelib2 в качестве загрузчиков вредоносного ПО.

Эти пакеты npm после установки будут получать информацию об инфраструктуре команд и управления второго этапа вредоносных программ через запросы к смарт-контрактам Ethereum (C2). Исследователь ReversingLabs Lucija Valentic назвала этот способ атаки весьма креативным, поскольку он никогда ранее не встречался. Такой метод атаки позволяет злоумышленникам обходить традиционные сканирования, так как эти сканирования обычно помечают только подозрительные URL в скриптах пакетов.

Угрожающие лица искусно скрывают вредоносные программы

Ethereum смарт-контракты это открытые блокчейн автоматизированные программы. В этой атаке хакеры использовали смарт-контракты, чтобы скрыть вредоносный код от общественного внимания. Вредоносная нагрузка была скрыта в простом index.js файле, который при выполнении подключается к блокчейну для получения деталей C2 сервера.

Исследование ReversingLabs показывает, что пакеты загрузчиков не так распространены на npm, а использование блокчейн-хостинга знаменует собой новый этап в обходе технологий обнаружения.

Безопасные рекомендации: Разработчики должны быть особенно осторожны при использовании открытых библиотек, особенно тех, которые связаны с функциями криптовалюты. Рекомендуется проводить полные проверки безопасности перед внедрением любых сторонних зависимостей.

Нападающие подделывают репозиторий GitHub для повышения репутации

Исследователи провели обширное сканирование GitHub и обнаружили, что эти npm-пакеты были внедрены в репозитории, маскирующиеся под торговых роботов для криптовалют, таких как Solana-trading-bot-v2, Hyperliquid-trading-bot-v2 и т.д. Эти репозитории выдаются за профессиональные инструменты, имеют множество коммитов, контейнеров и звездочек, но на самом деле являются вымышленными.

Исследование показало, что аккаунты, которые делают коммиты или форки этих репозиториев, были созданы в июле и не показывают никакой активности в кодировании. В большинстве репозиториев аккаунтов встроен файл README. Расследование выявило, что количество коммитов было искусственно сгенерировано с помощью автоматизированного процесса, чтобы преувеличить активность в кодировании. Например, большинство зафиксированных коммитов — это просто изменения в лицензионных файлах, а не существенные обновления.

Безопасные советы: пользователи CEX и инвесторы в криптовалюту не должны судить о надежности проекта только по количеству звезд, частоте коммитов и другим поверхностным данным при использовании открытых инструментов на GitHub. Рекомендуется тщательно проверить качество кода и состояние поддержки.

Эфир Blockchain вредоносные программы встраивание знаков угроза обнаружение новой стадии

Недавно обнаруженная атака является последней в серии атак на блокчейн-экосистему. В марте этого года ResearchLabs также обнаружил другие вредоносные npm-пакеты, которые изменяли легитимные пакеты Ethers, внедряя код обратного шелла.

Исследования показывают, что в 2024 году было зафиксировано 23 инцидента в цепочке поставок, связанных с криптовалютами, включая вредоносные программы и утечки учетных данных.

Хотя в этом открытии использовались некоторые старые приемы, был введен смарт-контракт Ethereum как новая механика. Исследователь Valentic отметил, что это подчеркивает быструю эволюцию злоумышленников в обходе обнаружения, которые постоянно ищут новые способы проникновения в проекты с открытым исходным кодом и среды разработчиков.

Безопасные советы: Для платформ CEX и пользователей такие новые угрозы означают необходимость усиления безопасности смарт-контрактов и повышения контроля над контрактами, которые могут быть использованы неправомерно. Платформы должны рассмотреть возможность внедрения более строгих механизмов проверки кода третьими сторонами.

Несмотря на то что затронутые npm-пакеты colortoolsv2 и mimelib2 были удалены из npm, а соответствующие аккаунты на GitHub закрыты, этот инцидент подчеркивает продолжающуюся эволюцию экосистемы угроз программного обеспечения. Он напоминает нам, что даже казалось бы безобидные функции блокчейна могут быть использованы хакерами и стать потенциальной угрозой безопасности.