Ny metod för att leverera skadlig programvara
Hotaktörer har funnit ett nytt sätt att leverera skadlig programvara, kommandon och länkar inuti Ethereum-smarta kontrakt för att undvika säkerhetsskanningar när attacker med kodförråd utvecklas. Cybersäkerhetsforskare vid det digitala tillgångsöverensstämmelseföretaget ReversingLabs har upptäckt nya bitar av öppen källkodsskadlig programvara på Node Package Manager (NPM) paketförrådet, en stor samling av JavaScript-paket och bibliotek.
”De skadliga programvarupaketen använder en ny och kreativ teknik för att ladda skadlig programvara på komprometterade enheter — smarta kontrakt för Ethereum-blockkedjan,” sa ReversingLabs forskare Lucija Valentić i ett blogginlägg på onsdagen.
De två paketen, ”colortoolsv2” och ”mimelib2,” publicerade i juli, ”missbrukade smarta kontrakt för att dölja skadliga kommandon som installerade nedladdningsskadlig programvara på komprometterade system,” förklarade Valentić. För att undvika säkerhetsskanningar fungerade paketen som enkla nedladdare och istället för att direkt vara värdar för skadliga länkar, hämtade de kommandon och kontrollserveradresser från de smarta kontrakten. När de installerades skulle paketen fråga blockkedjan för att hämta URL:er för nedladdning av andra etappens skadlig programvara, som bär payload eller åtgärd, vilket gör det svårare att upptäcka eftersom blockkedjetrafik verkar legitim.
En ny attackvektor
Skadlig programvara som riktar sig mot Ethereum-smarta kontrakt är inte ny; den användes tidigare i år av den nordkoreanska hackargruppen Lazarus Group. ”Det som är nytt och annorlunda är användningen av Ethereum-smarta kontrakt för att vara värdar för URL:er där skadliga kommandon finns, som laddar ner den andra etappens skadliga programvara,” sa Valentić, som tillade: ”Det är något vi inte har sett tidigare, och det belyser den snabba utvecklingen av strategier för att undvika upptäckter av skadliga aktörer som trollar öppna källkodsrepositoryn och utvecklare.”
En invecklad kryptodeceptionkampanj
De skadliga programvarupaketen var en del av en större, invecklad social ingenjörskonst och deceptionkampanj som främst verkade genom GitHub. Hotaktörer skapade falska kryptovaluta handelsbotrepositoryn som var utformade för att se mycket pålitliga ut genom fabricerade commits, falska användarkonton skapade specifikt för att övervaka repositoryn, flera underhållarkonton för att simulera aktiv utveckling, och professionellt utformade projektbeskrivningar och dokumentation.
Hotaktörer utvecklas
År 2024 dokumenterade säkerhetsforskare 23 kryptorelaterade skadliga kampanjer på öppna källkodsrepositoryn, men denna senaste attackvektor ”visar att attacker på repositoryn utvecklas,” och kombinerar blockkedjeteknik med invecklad social ingenjörskonst för att kringgå traditionella upptäcktsmetoder, avslutade Valentić. Dessa attacker utförs inte bara på Ethereum. I april användes ett falskt GitHub-repository som utgav sig för att vara en Solana handelsbot för att distribuera dölja skadlig programvara som stjäl kryptovaluta plånboksuppgifter. Hackare har också riktat sig mot ”Bitcoinlib,” ett öppet källkods Python-bibliotek som är utformat för att göra Bitcoin-utveckling enklare.
