SlowMist: Обнаружена вредоносная атака на цепочку поставок, нацеленная на пользователей npm и разработчиков DeFi

По данным Foresight News, согласно мониторингу SlowMist, MistEye выявил скоординированную злонамеренную активность в npm цепочке поставок, при которой используются поддельные репозитории торговых роботов и npm-пакеты с тематикой DeFi для распространения JavaScript-инструментов кражи информации среди пользователей npm, разработчиков DeFi и пользователей торговых машин.

В данной активности задействовано 30 вредоносных npm-пакетов, включая stake-math@3.5.4, который появляется как заблокированная зависимость в donoaccestag/forex-mt5-trading-bot. В этом репозитории отмечаются явные признаки необычного поведения: зависимость от npm-пакета, упомянутого в отчёте безопасности как вредоносного, а также около 2 300 сильно похожих, возможно, массово созданных форков, преимущественно связанных с аккаунтом poly-stocks.

Действия потенциальных атакующих включают кражу локальных чувствительных данных, таких как криптовалютные кошельки, cookies браузера, сохранённые пароли, историю просмотра, учётные данные разработчика, историю shell, хранилища менеджера паролей, приватные ключи, мнемонические фразы и токены API, обнаруженные в исходном коде. Разработчикам рекомендуется немедленно удалить затронутые npm-пакеты, провести аудит package.json / package-lock.json и CI-логов для поиска этих 30 вредоносных пакетов, считать систему, на которую был запущен npm install, потенциально скомпрометированной, своевременно заменить раскрытые кошельки, приватные ключи, npm-токены, облачные учётные данные, SSH-ключи и токены API, а также восстановить пострадавшую среду с чистого образа.