Ethereum, portefeuilles Solana ciblés dans une attaque «NPM» massive mais seulement 5 cents pris

Un e-mail de phishing a enlevé lundi l’un des développeurs les plus prolifiques de Node.js en poussant le code malveillant dans des packages téléchargés des milliards de fois par semaine, dans ce que les chercheurs appellent la plus grande attaque de chaîne d’approvisionnement logicielle ces derniers temps.

Bien que la portée de l’attaque soit massive, Security Alliance a déclaré dans un rapport de mardi que l’attaquant est reparti avec à peine quelques cents. Cependant, les équipes de sécurité sont désormais confrontées au coût substantiel de la mise à jour des systèmes backend pour contrer les attaques supplémentaires.

Un responsable très populaire dont le travail (comme Chalk and Debug-js) est utilisé dans des milliards de téléchargements chaque semaine, connu sous le nom de «Qix», responsable de bibliothèques telles que Chalk et Debug-js, a été compromise la semaine dernière après avoir reçu un e-mail de Support @ NPMJS [.] Aide. Le domaine a une fois indiqué un serveur russe et redirigé vers une page d’authentification à deux facteurs usurpé hébergée sur le réseau de livraison de contenu Bunnycdn.

Le voleur d’identification a récolté le nom d’utilisateur, le mot de passe et les codes 2FA avant de les envoyer à un hôte distant. Avec un accès complet, l’attaquant a republié chaque package QIX avec une charge utile axée sur la crypto.

Gestionnaire de packages de nœuds (raccourci en NPM, pas NPM) est comme une boutique d’applications pour les développeurs et est l’endroit où les codeurs téléchargent de petits blocs de construction de code (appelés packages) au lieu d’écrire à partir de zéro. Un responsable est la personne ou l’entité qui crée et met à jour ces packages.

comment l’attaque s’est produite

Le code injecté était simple. Il a vérifié si Window.ethereum était présent et, dans l’affirmative, connecté aux fonctions de transaction de base d’Ethereum. Les appels pour approuver, permettre, transférer ou transférer ont été réduits silencieusement à un seul portefeuille, «0xfc4a4858BaFEF54D1B1D7697BFB5C52F4C166976».

Toute transaction Ethereum avec une valeur et aucune donnée n’a également été redirecte. Pour Solana, les logiciels malveillants ont écrasé les destinataires avec une chaîne non valide commençant «1911…», les transferts de rupture.

Les demandes de réseau ont également été interceptées.

En détournant la récupération et XMLHttpRequest, les logiciels malveillants ont scanné des réponses JSON pour les sous-chaînes ressemblant à des adresses de portefeuille et les ont remplacées par l’une des 280 alternatives codées en dur pour paraître trompeusement similaires.

Reçu seulement environ cinq cents d’éther et environ 20 $ d’un memecoin illiquide qui a échangé moins de 600 $ en volume, a déclaré le rapport de sécurité de Security Alliance.

Le portefeuille de navigateur populaire Metamask a également déclaré sur X qu’il n’a pas été affecté par les vérifications de la chaîne de fournitures NPM, car le portefeuille verrouille ses versions de code, utilise des vérifications manuelles et automatisées, et relâche les mises à jour dans les étages. Il utilise également « Lavamoat », qui bloque le code malveillant même s’il est inséré et « Blockaid », qui signale rapidement des adresses de portefeuille compromises, pour garder ces attaques à distance.

En attendant, le CTO Charles Guillemet a averti que le code malveillant avait été poussé dans des forfaits avec un milliard de téléchargements et a été conçu pour remplacer silencieusement les adresses portefeuilles dans des transactions dans des transactions dans des transactions. Case signalée la semaine dernière en inversant leslabs, où les packages NPM ont utilisé des contrats intelligents Ethereum pour cacher des liens de logiciels malveillants – une technique qui déguisait le trafic de commandement et de contrôle comme appels de blockchain ordinaires.