bee-js 13.3.0 в npm пыталась украсть ключи криптокошельков

Как работал вредонос в bee-js 13.3.0

Злоумышленники изменили пакет так, чтобы скрипт запускался автоматически при установке. Если выполнение таких скриптов было разрешено, вредонос срабатывал ещё до того, как библиотеку начали использовать в приложении. В комментариях к коду обращение к их серверу было названо отправкой аналитики. На деле скрипт получал оттуда JavaScript и сразу выполнял его с правами пользователя, который ставил пакет.

Полезная нагрузка искала в данных приложения Swarm Desktop зашифрованный ключ кошелька и файл конфигурации. Если в конфигурации был пароль от ключа, кража двух файлов давала контроль над кошельком. Вредонос также пытался закрепиться в системе, чтобы доступ остался после установки.

На Linux и macOS атака шла дальше: ставился бэкдор для удалённого выполнения команд. Адрес командного сервера он читал из смарт-контракта Ethereum. Оператор мог поменять адрес одной транзакцией, не выпуская новую сборку вредоноса.

Как проверить, затронут ли ваш проект

Заражённая версия могла прийти и транзитивно. Диапазоны зависимостей нескольких инструментов Swarm допускали 13.3.0, поэтому смотреть нужно фактически разрешённую версию в lock-файле. Одного поиска прямой зависимости в манифесте недостаточно.

Командам, использующим bee-js, стоит проверить lock-файлы, кэши пакетов и журналы установки в CI на версию 13.3.0, включая транзитивные зависимости. Если она ставилась с разрешёнными скриптами или запускался Swarm Desktop 0.56.2, машину или CI-раннер нужно исследовать. Для раннера это касается токенов публикации пакетов и доступа к исходникам.

По данным CodeScoring, блокирующие политики с условием «Зависимость опасна» останавливают загрузку этого и других известных вредоносных пакетов в модуле CodeScoring.OSA и сборку проекта в модуле CodeScoring.SCA.