Hakerzy kryptowalutowi używają teraz smart kontraktów Ethereum do ukrywania złośliwego oprogramowania
Ethereum stał się najnowszym celem ataków na łańcuch dostaw oprogramowania.
Badacze z ReversingLabs na początku tego tygodnia odkryli dwa złośliwe pakiety NPM, które wykorzystywały smart kontrakty Ethereum do ukrywania szkodliwego kodu, co pozwalało złośliwemu oprogramowaniu omijać tradycyjne mechanizmy bezpieczeństwa.
NPM to menedżer pakietów dla środowiska uruchomieniowego Node.js i jest uważany za największy na świecie rejestr oprogramowania, w którym deweloperzy mogą uzyskiwać dostęp do kodu i dzielić się nim, przyczyniając się do rozwoju milionów programów.
Pakiety „colortoolsv2” i „mimelib2” zostały przesłane do szeroko wykorzystywanego repozytorium Node Package Manager w lipcu. Na pierwszy rzut oka wydawały się prostymi narzędziami, ale w rzeczywistości wykorzystywały blockchain Ethereum do pobierania ukrytych adresów URL, które kierowały zainfekowane systemy do pobierania drugiego etapu złośliwego oprogramowania.
Poprzez osadzenie tych poleceń w smart kontrakcie, atakujący maskowali swoją aktywność jako legalny ruch blockchain, co utrudniało wykrycie.
„To jest coś, czego wcześniej nie widzieliśmy” – powiedziała w swoim raporcie badaczka ReversingLabs, Lucija Valentić. „Podkreśla to szybki rozwój strategii unikania wykrycia przez złośliwych aktorów, którzy przeszukują otwarte repozytoria i deweloperów.”
Technika ta opiera się na znanych już metodach. W przeszłości ataki wykorzystywały zaufane usługi, takie jak GitHub Gists, Google Drive czy OneDrive do hostowania złośliwych linków. Wykorzystując zamiast tego smart kontrakty Ethereum, atakujący dodali kryptowalutowy akcent do już niebezpiecznej taktyki ataków na łańcuch dostaw.
Incydent ten jest częścią szerszej kampanii. ReversingLabs odkrył pakiety powiązane z fałszywymi repozytoriami GitHub podszywającymi się pod cryptocurrency trading bots. Repozytoria te były wypełnione sfabrykowanymi commitami, fałszywymi kontami użytkowników i zawyżoną liczbą gwiazdek, aby wyglądały na wiarygodne.
Deweloperzy, którzy pobierali ten kod, ryzykowali nieświadome zaimportowanie złośliwego oprogramowania.
Ryzyka związane z łańcuchem dostaw w otwartoźródłowych narzędziach kryptowalutowych nie są nowe. W zeszłym roku badacze zgłosili ponad 20 złośliwych kampanii wymierzonych w deweloperów poprzez repozytoria takie jak npm i PyPI.
Wiele z nich miało na celu kradzież danych uwierzytelniających do portfeli lub instalację koparek kryptowalut. Jednak wykorzystanie smart kontraktów Ethereum jako mechanizmu dostarczania pokazuje, że przeciwnicy szybko dostosowują się, by wtopić się w ekosystemy blockchain.
Wniosek dla deweloperów jest taki, że popularne commity lub aktywni maintainerzy mogą być fałszowani, a nawet pozornie nieszkodliwe pakiety mogą zawierać ukryte ładunki.
Zastrzeżenie: Treść tego artykułu odzwierciedla wyłącznie opinię autora i nie reprezentuje platformy w żadnym charakterze. Niniejszy artykuł nie ma służyć jako punkt odniesienia przy podejmowaniu decyzji inwestycyjnych.
Może Ci się również spodobać
Amazon potajemnie tworzy globalną bazę danych produktów, aby powstrzymać AI-zakupowych agentów i chronić przychody z reklam
Amazon realizuje plan o kryptonimie „World Product Graph”, mający na celu zgromadzenie danych o wszystkich produktach dostępnych na sprzedaż na świecie (niezależnie od tego, czy są sprzedawane na ich platformie). Celem jest uruchomienie projektu w październiku 2027 roku, aby przejąć inicjatywę w zakresie wyszukiwania produktów zakupowych, nadrobić straty względem Google na etapie badań produktów oraz przeciwdziałać wpływowi takich agentów zakupowych opartych na AI jak Meta Muse na ruch i działalność reklamową. Amazon przyznał, że ten dokument jest nieaktualny, lecz potwierdził zaangażowanie w rozbudowę kompletności katalogu produktów.
Nvidia spadła do najniższej wyceny od 14 lat! „Wielki byk” Tom Lee nawołuje do kupowania przy spadkach, inwestorzy indywidualni kupują coraz więcej, ale na Wall Street pojawiają się rozbieżności
Po otwarciu w czwartek, inwestorzy detaliczni masowo kupowali akcje NVIDIA, a w ciągu pół godziny wartość netto zakupów osiągnęła 111 milionów dolarów, ustanawiając rekord na ten okres. Inwestorzy tacy jak Tom Lee publicznie wspierali firmę, a instytucje pozytywnie oceniały zapełniony portfel zamówień do 2028 roku, silny wzrost przychodów oraz szansę wynikającą ze spadku wyceny. Tymczasem instytucje takie jak Bernstein i Goldman Sachs stały się bardziej ostrożne wobec perspektyw NVIDIA; największe obawy dotyczą sukcesji kierownictwa po odejściu Jensen Huang oraz utrzymania przewagi technologicznej.
Od od SpaceX do Anthropic, rynek opracował nowe strategie reagowania na debiuty gigantów
Strategie rynkowe wobec debiutu giełdowego gigantów skupiają się obecnie na „oczekiwaniu na włączenie do indeksów”: nowe przepisy pozwalają na włączenie super-wielkich IPO do sześciu głównych indeksów w ciągu 15 dni, co uruchamia skoncentrowane zakupy przez fundusze pasywne, a inwestorzy zawczasu pozycjonują się oraz powiększają zakupy za pomocą opcji. Jednakże, w obrocie Anthropic znajduje się jedynie około 6%, a akcje dostępne dla pracowników w pierwszym dniu oraz udziały z prywatnej emisji bez okresu blokady mogą wywołać presję podażową, co stwarza rzadką okazję dla arbitrażystów indeksowych.
Ceny krypto
Więcej
