Автоматизированная платформа Phylum заметила несколько подозрительных пакетов на npm, которые являются частью новой атаки. После расследования было обнаружено, что эти пакеты пытаются получить приватные ключи Ethereum и SSH-доступ к машине жертвы. Атака использует подход, отличающийся от предыдущих, поскольку злоумышленники стараются скрыть свой вредоносный код, чтобы не вызывать подозрений. Они делают все возможное, чтобы код выглядел законно и безопасно. Один из злоумышленников зарегистрировал домен ether-sign.com, который также встречается в коде.
Описание
В отличие от предыдущих атак, которые использовали инструменты установки, эта атака требует от разработчика использования вредоносной библиотеки. Злоумышленники предполагают, что жертва будет использовать библиотеку ethers как обычно. В примере показано, как создать новый экземпляр кошелька с использованием закрытого ключа. Однако, при ближайшем рассмотрении файлов вредоносной библиотеки, можно заметить некоторые различия, которые позволяют злоумышленникам получить доступ к приватным ключам.
Злоумышленники вводят дополнительную проверку в коде, чтобы узнать, является ли ключ строкой (что является верным в случае закрытого ключа). Если это так, то вызывается другая функция checkAddress из файла transaction/index.js. После более детального рассмотрения этого файла обнаруживается, что он имеет некоторые изменения по сравнению с оригинальным файлом. Эти изменения позволяют злоумышленникам получить доступ к приватным ключам и SSH-доступу жертвы.
В заключение, эта новая атака использует уловки для получения приватных ключей Ethereum и SSH-доступа к машине жертвы, используя вредоносные пакеты на npm. Злоумышленники стремятся скрыть свой вредоносный код, делая его схожим с легитимными пакетами. При использовании вредоносной библиотеки ethers-mew, злоумышленники вводят дополнительную проверку ключа, что позволяет им получить доступ к приватным ключам и SSH-доступу жертвы. Эта атака требует, чтобы разработчики устанавливали вредоносные библиотеки, поэтому важно быть внимательными при выборе библиотек для использования.
Indicators of Compromise
IPv4
- 88.99.95.50
Domains
- ether-sign.com
