npm'deki bee-js 13.3.0, kripto cüzdan anahtarlarını çalmaya çalıştı

bee-js 13.3.0'daki zararlı kod nasıl çalışıyordu?

Saldırganlar paketi, kütüphane kurulurken bir betik otomatik çalışacak şekilde değiştirdi. Bu tür betiklerin çalışmasına izin verilmişse zararlı, kütüphane uygulamada kullanılmadan önce devreye giriyordu. Kod yorumlarında kendi sunucularına yapılan bağlantı "analitik gönderimi" olarak anlatılıyordu. Oysa betik oradan JavaScript indirip paketi kuran kullanıcının yetkileriyle hemen çalıştırıyordu.

Yük, Swarm Desktop uygulamasının verileri arasında şifrelenmiş cüzdan anahtarını ve yapılandırma dosyasını arıyordu. Yapılandırmada anahtarın parolası varsa, bu iki dosyanın çalınması cüzdanın kontrolünü veriyordu. Zararlı ayrıca kurulum bittikten sonra da erişimi korumak için sisteme yerleşmeye çalışıyordu.

Linux ve macOS'ta saldırı, uzaktan komut çalıştıran bir arka kapının kurulmasıyla sürdü. Arka kapı, komut sunucusunun adresini bir Ethereum akıllı sözleşmesinden okuyordu. Operatör bu adresi tek bir işlemle değiştirebiliyordu, yeni bir zararlı sürüm yayımlamasına gerek yoktu.

Etkilenip etkilenmediğinizi nasıl anlarsınız?

Zararlı sürüm projeye dolaylı yoldan da gelmiş olabilir. Birkaç Swarm aracının bağımlılık aralıkları 13.3.0'a izin veriyordu. Bu yüzden lock dosyasında fiilen çözümlenen sürüme bakmak gerekiyor. Manifestte doğrudan bağımlılık aramak yetmez.

bee-js kullanan ekipler lock dosyalarını, paket önbelleklerini ve CI kurulum günlüklerini 13.3.0 sürümü için, dolaylı bağımlılıklar dahil, taramalı. Bu sürüm betiklere izin verilerek kurulduysa ya da Swarm Desktop 0.56.2 çalıştırıldıysa makine veya CI runner'ı incelenmeli. CI runner'ında risk altındaki şeyler paket yayın token'ları ve kaynak koduna erişim.

CodeScoring, "Bağımlılık tehlikeli" koşullu engelleme politikalarının bu ve diğer bilinen zararlı paketlerin indirilmesini CodeScoring.OSA modülünde, proje derlemesini ise CodeScoring.SCA modülünde durdurduğunu belirtiyor.