Hacker, Ethereum akıllı sözleşmelerini kullanarak kötü amaçlı yazılım gizliyor: Yeni tehdit analizi

ReversingLabs araştırma ekibi yakın zamanda Ethereum akıllı sözleşmelerini kullanarak kötü amaçlı yazılım URL'lerini gizleyen bir saldırı faaliyetini keşfetti. Araştırmalar, saldırganların npm paketi colortoolv2 ve mimelib2'yi kötü amaçlı yazılım indiricisi olarak kullandığını gösteriyor.

Bu npm paketleri yüklendikten sonra Ethereum akıllı sözleşmelerini sorgulayarak ikinci aşama kötü amaçlı yazılımın komut ve kontrol (C2) altyapı bilgilerini alacak. ReversingLabs araştırmacısı Lucija Valentic, bu saldırı yönteminin oldukça yaratıcı olduğunu ve daha önce hiç görülmediğini belirtti. Saldırganların bu yöntemi, geleneksel taramaları atlatabilir çünkü bu taramalar genellikle yalnızca paket betiğindeki şüpheli URL'leri işaretler.

Tehdit aktörleri kötü amaçlı yazılımı ustaca gizliyor

Ethereum akıllı sözleşmeleri, açık blockchain otomasyon programlarıdır. Bu saldırıda, hacker'lar akıllı sözleşmeleri kullanarak kötü amaçlı yazılım kodunu kamu gözünden sakladı. Kötü amaçlı yük, basit bir index.js dosyasının içine gizlenmişti ve çalıştırıldığında blockchain'e bağlanarak C2 sunucu detaylarını alıyordu.

ReversingLabs'ın araştırmaları, npm'de indirme paketlerinin yaygın olmadığını ve blockchain barındırmanın, tespit tekniklerini aşmanın yeni bir aşamasına geçtiğini göstermektedir.

Güvenlik İpuçları: Geliştiricilerin açık kaynak kütüphanelerini kullanırken özellikle kripto para ile ilgili işlevleri içeren kütüphanelerde son derece dikkatli olmaları gerekir. Herhangi bir üçüncü taraf bağımlılığı dahil etmeden önce kapsamlı bir güvenlik denetimi yapılması önerilir.

Saldırganlar, itibarlarını artırmak için GitHub deposu sahtecilik yapıyor

Araştırmacılar GitHub'u kapsamlı bir şekilde taradı ve bu npm paketlerinin, Solana-trading-bot-v2, Hyperliquid-trading-bot-v2 gibi kripto para ticaret robotları gibi gizlenmiş depolara gömülü olduğunu keşfetti. Bu depolar, birçok gönderim, konteyner ve yıldız işareti olan profesyonel araçlar gibi sahte bir şekilde oluşturulmuş, ancak aslında tamamen kurgusal.

Araştırmalar, bu depoları gönderen veya çatallayan hesapların hepsinin Temmuz ayında oluşturulduğunu ve hiçbir kodlama etkinliği göstermediğini ortaya koydu. Çoğu hesabın deposunda bir README dosyası gömülüydü. Araştırma, yapılan gönderim sayısının otomatik bir süreçle yapay olarak üretildiğini, kodlama etkinliğini abartmak için kullanıldığını ortaya çıkardı. Örneğin, kaydedilen gönderimlerin çoğu lisans dosyalarının değiştirilmesinden ibaretti, gerçek bir güncelleme değil.

Güvenlik İpuçları: CEX kullanıcıları ve kripto para yatırımcıları, GitHub'daki açık kaynak araçlarını kullanırken, projelerin güvenilirliğini yalnızca yıldız sayısı, gönderim sıklığı gibi yüzeysel verilere dayanarak değerlendirmemelidir. Kod kalitesi ve bakım durumu derinlemesine incelenmelidir.

Ethereum blok zinciri kötü amaçlı yazılım gömülü simge tehdit tespiti yeni aşama

Bu seferki saldırı, blok zinciri ekosistemine yönelik bir dizi saldırının en yenisi. Bu yıl Mart ayında, ResearchLabs ayrıca, meşru Eter paketlerini değiştirmek için ters shell kodu yerleştirerek diğer kötü amaçlı npm paketlerini de keşfetti.

Araştırmalar, 2024'te kripto para ile ilgili 23 tedarik zinciri olayının kaydedildiğini, bunların arasında kötü amaçlı yazılım ve belge sızıntısı gibi çeşitli biçimlerin bulunduğunu gösteriyor.

Bu keşif, bazı eski yöntemlerin kullanılmasına rağmen, yeni bir mekanizma olarak Ethereum sözleşmelerinin kullanılmasını içermektedir. Valentic araştırmacısı, bunun kötü niyetli aktörlerin tespit edilmekten kaçınma konusundaki hızlı evrimini vurguladığını, sürekli olarak açık kaynak projelere ve geliştirici ortamlarına sızma yolları aradıklarını belirtti.

Güvenlik İpuçları: CEX platformları ve kullanıcıları için bu tür yeni tehditler, akıllı sözleşmelerin güvenlik denetimlerinin güçlendirilmesi ve kötüye kullanılabilecek sözleşmelerin izlenme düzeyinin artırılması gerektiği anlamına geliyor. Platformlar, daha sıkı üçüncü taraf kod denetim mekanizmalarının uygulanmasını düşünmelidir.

İlgili npm paketi colortoolsv2 ve mimelib2 npm'den kaldırılmış olsa da ve ilgili GitHub hesapları kapatılmış olsa da, bu olay yazılım tehdit ekosisteminin sürekli evrimini vurgulamaktadır. Bu, görünüşte zararsız olan blockchain işlevlerinin bile hackerlar tarafından kullanılabileceğini ve potansiyel bir güvenlik riski haline gelebileceğini hatırlatıyor.