Gumagamit na ngayon ang mga crypto hacker ng Ethereum smart contracts upang itago ang malware payloads
Ang Ethereum ay naging pinakabagong larangan para sa mga pag-atake sa software supply chain.
Nadiskubre ng mga mananaliksik mula sa ReversingLabs ngayong linggo ang dalawang malisyosong NPM packages na gumamit ng Ethereum smart contracts upang itago ang mapaminsalang code, na nagpapahintulot sa malware na makalusot sa mga tradisyonal na security checks.
Ang NPM ay isang package manager para sa runtime environment na Node.js at itinuturing na pinakamalaking software registry sa mundo, kung saan maaaring mag-access at magbahagi ng code ang mga developer na tumutulong sa milyun-milyong software programs.
Ang mga packages na “colortoolsv2” at “mimelib2,” ay na-upload sa malawakang ginagamit na Node Package Manager repository noong Hulyo. Sa unang tingin, tila mga simpleng utility lamang ito, ngunit sa aktwal, ginamit nila ang blockchain ng Ethereum upang kunin ang mga nakatagong URL na nagdidirekta sa mga apektadong sistema na mag-download ng second-stage malware.
Sa pamamagitan ng pag-embed ng mga command na ito sa loob ng isang smart contract, naitago ng mga umaatake ang kanilang aktibidad bilang lehitimong blockchain traffic, kaya mas mahirap itong matukoy.
“Ito ay isang bagay na hindi pa namin nakita noon,” ayon sa ulat ng mananaliksik ng ReversingLabs na si Lucija Valentić. “Ipinapakita nito ang mabilis na pag-usbong ng mga estratehiya sa pag-iwas sa detection ng mga malisyosong aktor na nagba-browse sa open source repositories at mga developer.”
Ang teknik na ito ay nakabatay sa isang lumang taktika. Sa mga nakaraang pag-atake, ginamit ang mga pinagkakatiwalaang serbisyo tulad ng GitHub Gists, Google Drive, o OneDrive upang mag-host ng malisyosong mga link. Sa paggamit ng Ethereum smart contracts, nagdagdag ang mga umaatake ng crypto-flavored na twist sa isang dati nang mapanganib na supply chain tactic.
Ang insidenteng ito ay bahagi ng mas malawak na kampanya. Natuklasan ng ReversingLabs ang mga packages na konektado sa mga pekeng GitHub repositories na nagpapanggap bilang cryptocurrency trading bots. Ang mga repo na ito ay pinalamanan ng mga pekeng commit, bogus na user accounts, at pinalaking bilang ng star upang magmukhang lehitimo.
Ang mga developer na nag-download ng code ay nanganganib na mag-import ng malware nang hindi nila namamalayan.
Ang mga panganib sa supply chain sa open-source crypto tooling ay hindi na bago. Noong nakaraang taon, iniulat ng mga mananaliksik ang higit sa 20 malisyosong kampanya na tumatarget sa mga developer sa pamamagitan ng mga repository tulad ng npm at PyPI.
Marami sa mga ito ay naglalayong magnakaw ng wallet credentials o mag-install ng crypto miners. Ngunit ang paggamit ng Ethereum smart contracts bilang delivery mechanism ay nagpapakita na mabilis na umaangkop ang mga kalaban upang mag-blend in sa blockchain ecosystems.
Isang aral para sa mga developer ay ang mga popular na commit o aktibong maintainer ay maaaring peke, at kahit ang mga tila inosenteng packages ay maaaring may dalang nakatagong payloads.
Disclaimer: Ang nilalaman ng artikulong ito ay sumasalamin lamang sa opinyon ng author at hindi kumakatawan sa platform sa anumang kapasidad. Ang artikulong ito ay hindi nilayon na magsilbi bilang isang sanggunian para sa paggawa ng mga desisyon sa investment.
Baka magustuhan mo rin
El Niño, tagtuyot at digmaan na "triple hampas" paparating! Maaaring lumampas sa 6% ang food inflation sa UK sa susunod na taon
Ipinapakita ng prediksyon ng mga tagagawa ng pagkain sa United Kingdom na ang El Niño phenomenon, tagtuyot tuwing tag-init, at serye ng mga epekto dulot ng digmaan sa Gitnang Silangan ay magtutulak sa food inflation rate ng UK na lumampas sa 6% sa susunod na taon.
Ang paggasta ng kapital para sa AI ay "lumalampas" mula sa GPU patungo sa buong industriya! Nakakuha ng malalaking kontrata sina Corning (GLW.US) at Qualcomm (QCOM.US) sa parehong araw, malakas na kumpirmasyon sa kumpiyansa sa paggasta para sa data center
Umakyat ang mga stock ng imprastraktura ng artificial intelligence matapos ianunsyo ng Qualcomm at Corning ang kanilang kasunduan.
Paano "bibilhin muli" ni贝森特 ang US Treasury bonds? May unang senyales ngayong gabi
Sa alas-11 ngayong gabi sa oras ng Beijing, iaanunsyo ng US Treasury ang laki ng operasyon ng buyback ng long-term government bonds. Ito ang unang paglalathala mula noong ipinahayag noong Agosto 19 na “doblehin ang buyback.” Inaasahan ng merkado na lalampas sa $4 bilyon ang laki, tinatayang ng Morgan Stanley ang maximum na halos $10 bilyon, at ayon sa Wrightson ICAP, $5 bilyon hanggang $6 bilyon ang makatwirang panimulang halaga. Ilalabas ang anunsyo ilang oras bago ang auction ng 10-year government bonds; ang buyback na mas malaki o maliit sa inaasahan ay maaaring magdulot ng paggalaw sa merkado.
Mga presyo ng crypto
Higit pa
