Цепочка поставок программного обеспечения сталкивается с новой угрозой. Исследователи обнаружили вредоносные пакеты в реестре npm, платформе распространения кода для разработчиков. Эти зараженные компоненты скрывают адреса серверов управления внутри блокчейна Ethereum — тактика, которая затрудняет их обнаружение. При установке этих пакетов затронутое программное обеспечение связывается с этими серверами для получения команд, кражи учетных данных или выгрузки конфиденциальных данных. Для конечного пользователя риск конкретен: внешне легитимные приложения могут скомпрометировать его личную и финансовую информацию, не показывая видимых признаков аномальной активности.
Как работает атака в блокчейне 🛡️
Используемая техника нова и сложна. Атакующие записывают адрес своего сервера управления и контроля непосредственно в транзакции Ethereum. Вредоносный код, после выполнения на устройстве жертвы, обращается к блокчейну, чтобы получить этот адрес. Поскольку сеть Ethereum публична и децентрализована, серверы управления не зависят от фиксированного домена, который можно легко заблокировать. Это позволяет атакующим менять сервер, просто публикуя новую транзакцию. Кроме того, трафик к блокчейну смешивается с легитимными операциями с криптовалютами, что усложняет работу традиционных систем безопасности по выявлению вредоносной коммуникации.
Доверься мне, я пакет с открытым исходным кодом 😅
Почти поэтично, что разработчики — те существа, которые доверяют всему, что видят в npm, не читая мелкий шрифт, — являются слабым звеном. Это как пригласить незнакомца домой, потому что он носит футболку твоей любимой команды. Пакет утверждает, что является утилитой для форматирования дат, а оказывается, что он также форматирует твою банковскую историю. А тем временем корпоративные серверы безопасности аплодируют креативности атакующего, который нашел способ спрятать свои инструкции в публичной бухгалтерской книге, которую никто не читает. Хорошо, что блокчейн неизменяем, потому что стереть этот позор было бы не так просто.