ผู้โจมตีบุกรุก Ethersphere และเผยแพร่มัลแวร์ขโมยกระเป๋าเงินผ่าน bee-js และ Swarm Desktop

แพ็คเกจ bee-js คือไลบรารี JavaScript ที่อยู่เบื้องหลัง Swarm Desktop และเครื่องมือบรรทัดคำสั่ง swarm-cli Swarm Desktop เรียกใช้โหนด Swarm บนคอมพิวเตอร์ของผู้ใช้และบันทึกกุญแจส่วนตัวของโหนดไว้ที่นั่น

เวอร์ชัน Swarm Desktop 0.56.2 ปรากฏบน GitHub ประมาณเวลา 00:36 UTC วันนี้และถูกถอนออกประมาณ 8.5 ชั่วโมงต่อมา ตัวอัปเดตในตัวของแอปสามารถนำเสนอให้กับคอมพิวเตอร์ Windows x64 และ Mac ที่ใช้ Apple Silicon ภายในประมาณ 10 นาที Mac ที่ใช้ Intel ไม่เคยได้รับการนำเสนอ และการติดตั้ง Linux ไม่ได้อัปเดตโดยอัตโนมัติ

เวอร์ชัน bee-js 13.3.0 เป็นเวอร์ชันล่าสุดบน npm เป็นเวลาประมาณ 75 นาที จาก 00:09 ถึง 01:25 UTC วันนี้ โค้ดของมันทำงานเป็นสคริปต์ postinstall ซึ่ง npm ดำเนินการโดยอัตโนมัติระหว่างการติดตั้งเว้นแต่ว่าปิดใช้งานสคริปต์การติดตั้ง โครงการไม่จำเป็นต้องนำเข้าไลบรารีเพื่อให้โค้ดทำงาน

ผู้ดูแลโครงการ Ethersphere ถอน 0.56.2 และแทนที่ด้วยเวอร์ชันที่สะอาด 0.56.3 วันนี้ ในการเปลี่ยนแปลงที่ตั้งค่าการเผยแพร่ใหม่ ผู้ดูแลคนหนึ่งเขียนว่า 0.56.2 ถูกเผยแพร่โดยผู้โจมตีโดยใช้ข้อมูลประจำตัว CI ที่ถูกขโมยและถูกถอนออก

การวิเคราะห์ของบริษัท Socket ซึ่งเป็นบริษัทด้านความปลอดภัยห่วงโซ่อุปทาน พบว่า bee-js 13.3.0 ถูกดาวน์โหลดประมาณ 10 ครั้ง รวมถึงโดยเครื่องสแกนความปลอดภัยและมิเรอร์ Swarm Desktop 0.56.2 มีจำนวนดาวน์โหลดถึง 65 ครั้งภายในเวลา 08:27 UTC รวมถึงนักวิจัย

ทั้งสองเวอร์ชันที่ถูกบุกรุกมาจากบัญชี bee-worker ซึ่ง Ethersphere ใช้เพื่อทำให้การเผยแพร่เป็นอัตโนมัติ ไม่มีการเปลี่ยนแปลงใดลงนามหรือส่งเป็นคำขอดึงข้อมูล ผู้โจมตีเผยแพร่เวอร์ชันใหม่บน GitHub ซึ่งเริ่มเวิร์กโฟลว์การเผยแพร่ npm ของโครงการ เวิร์กโฟลว์นี้ไม่จำเป็นต้องได้รับการอนุมัติและเผยแพร่แพ็คเกจไปยัง npm ใน 73 วินาที