SlowMist, Salı günü, Ethereum ekosistem yazılımlarını hedef alan bir tedarik zinciri saldırısını keşfettikten sonra acil bir güvenlik uyarısı yayınladı. Saldırganlar, geliştirici hesaplarını ele geçirerek, Swarm adlı merkeziyetsiz depolama ağı için meşru sürüm süreçleri aracılığıyla kötü amaçlı yazılım yüklediler ve bu durum Windows, macOS ve Linux kullanıcılarını etkiledi. Kötü amaçlı yazılım, özel anahtarları ve kripto para cüzdanı kimlik bilgilerini çalmak için tasarlanmış zararlı JavaScript kodunu alır ve çalıştırır. Ethereum akıllı sözleşmesi, saldırganların enfekte sistemlere yeni kötü amaçlı sürümler dağıtmadan kötü amaçlı yazılım sunucu adreslerini değiştirmelerine olanak tanıyan merkeziyetsiz bir komut ve kontrol deposu olarak hizmet eder.
Saldırganlar GitHub Hesaplarını Ele Geçirdi ve Resmi Yayın Kanallarından Kötü Amaçlı Yazılım Yükledi
Swarm depolama projesine yönelik tedarik zinciri saldırısı, Ethereum kullanıcılarına resmi yazılım güncelleme kanalları aracılığıyla ulaştı. Bir blok zinciri güvenlik firması olan SlowMist, saldırganların GitHub hesaplarına girdiğini ve meşru sürüm sürecini kullanarak kötü amaçlı sürümler yayınladığını keşfettikten sonra uyarıyı yükseltti. Bu yöntemle iki yazılım parçası tehlikeye atıldı. Etkilenen kod, daha geniş Ethereum ekosisteminin içinde yer alan Swarm adlı merkeziyetsiz depolama ağına aittir ve Windows, macOS ve Linux üzerinde çalışır. Bir makineye yüklendikten sonra, kötü amaçlı yazılım, saldırganların kontrolündeki altyapıdan çekilen JavaScript kodunu alır ve çalıştırır. Kötü amaçlı sürümler, kripto para cüzdanı kimlik bilgilerini tehlikeye atabilir, özel anahtarları çalabilir ve etkilenen sistemlerde kalıcı arka kapılar açabilir. Uyarı, Ethereum'un araçlarıyla ilgili olup, Ethereum fiyatını etkilemediğini belirtmektedir ve açıklama, zincir üzerindeki fonların zaten boşaltıldığını iddia etmemektedir. Dağıtım yolu, kaynakta bir geliştirici hesabının ele geçirilmesi, normal yayın kanallarından kötü amaçlı bir sürümün yüklenmesi ve üç işletim sistemi genelinde kullanıcıların yüklü kopyalarının temiz olup olmadığını belirlemeye bırakılmasıyla gerçekleşti. Swarm, ekosistem için depolama altyapısı işlevi görmektedir. SlowMist, X'te tam ayrıntıları yayınlayarak hem dağıtım yolunu hem de temizleme adımlarını açıkladı.
Ethereum Akıllı Sözleşmesi Merkeziyetsiz Komut ve Kontrol Altyapısı Olarak İşlev Görüyor
Saldırının arkasındaki mekanizma, tek seferlik bir truva atından daha öteye uzanıyor. SlowMist, X'te yayınladığı uyarıda, operatörlerin merkeziyetsiz bir komut ve kontrol yapılandırma deposu olarak bir Ethereum akıllı sözleşmesine güvendiğini açıklıyor. Yapılandırma sözleşmede yer aldığından, saldırganlar, kötü amaçlı yazılımı yöneten sunucu adreslerini, zaten enfekte olmuş makinelere yeni kötü amaçlı bir sürüm göndermeden değiştirebilirler. Tek bir sunucunun kapatılması kampanyayı kırmaz. SlowMist, aynı sözleşmenin daha önce SleepyDuck ve EtherDuck kötü amaçlı yazılım operasyonlarıyla ilişkilendirildiğini, bu kampanyaların Open VSX pazarında dağıtılan kötü amaçlı uzantılar aracılığıyla geliştiricileri hedef aldığını ekliyor. Bu yeniden kullanım, Swarm olayının, kripto para geliştiricilerini ve kullanıcılarını tehlikeye atmayı amaçlayan daha geniş bir operasyonun bir parçası olabileceği olasılığını işaret ediyor. SlowMist'ten bağımsız güvenlik araştırmacıları Socket ve SafeDep, enfekte sistemlerde kalıcı uzaktan erişim araçları dağıtmak ve Swarm cüzdan dosyalarını çalmak için tasarlanmış kötü amaçlı yazılımlar buldular. Bu bulgular, araçların makinede kalmak için inşa edildiği ve bir kez çalışıp kaybolmak için değil olduğu konusundaki uyarıyla örtüşüyor. Uyarı, ele geçirilen sürümlerin yayın kanalında ne kadar süre kaldığını veya bu süre zarfında kaç makinenin bunları indirdiğini belirtmiyor.
SlowMist, Kullanıcılara Etkilenen Paketleri Kaldırmalarını ve Temiz Sürümlere Dönmelerini Tavsiye Ediyor
SlowMist, kullanıcılara etkilenen paketi derhal kaldırmalarını ve temiz sürüm 13.2.0'a geri dönmelerini tavsiye ediyor. Swarm Desktop v0.56.2 kullanan herkes, daha fazla zarar vermeden yüklü yükü kesmek için temiz v0.56.3 sürümüne güncellemelidir. Kötü amaçlı yazılımın yapılandırmasını Ethereum'daki bir akıllı sözleşmeye yerleştirmek, operatörlere sunucu kapatmalarına dayanacak altyapı döngüsü sağlar. Sıralamadaki kesilebilecek nokta, kullanıcının makinesindedir: paketi kaldırmak ve 13.2.0 sürümüne geri dönmek veya Swarm Desktop'u v0.56.3'e yükseltmek, yüklü yükü daha fazla zarar vermeden keser. Uyarı, herhangi bir kurban sayısını belirtmiyor ve bu konuda bir bilgi yayınlanmamıştır.
SSS
SlowMist, Salı günü Ethereum ekosistem yazılımlarıyla ilgili ne keşfetti?
SlowMist, Salı günü, Ethereum ekosistem yazılımlarını hedef alan bir tedarik zinciri saldırısını keşfettikten sonra acil bir güvenlik uyarısı yayınladı. Saldırganlar, geliştirici hesaplarını ele geçirerek, Swarm için meşru sürüm süreçleri aracılığıyla kötü amaçlı yazılım yüklediler ve bu durum Windows, macOS ve Linux kullanıcılarını etkiledi.
Kötü amaçlı yazılımın komut ve kontrol altyapısı nasıl çalışıyor?
Operatörler, merkeziyetsiz bir komut ve kontrol yapılandırma deposu olarak bir Ethereum akıllı sözleşmesine güveniyorlar. Yapılandırma sözleşmede yer aldığından, saldırganlar, kötü amaçlı yazılımı yöneten sunucu adreslerini, zaten enfekte olmuş makinelere yeni kötü amaçlı sürümler göndermeden değiştirebilirler, bu da sunucu kapatmalarını etkisiz hale getirir.
SlowMist, etkilenen kullanıcılar için hangi iyileştirme adımlarını öneriyor?
SlowMist, kullanıcılara etkilenen paketi derhal kaldırmalarını ve temiz sürüm 13.2.0'a geri dönmelerini tavsiye ediyor. Swarm Desktop v0.56.2 kullanan herkes, daha fazla zarar vermeden yüklü yükü kesmek için temiz v0.56.3 sürümüne güncellemelidir.
