Ethersphere'in bee-js ve Swarm Desktop araçları cüzdan çalan kötü amaçlı yazılım dağıtmak için ele geçirildi

bee-js paketi Swarm Desktop'un arkasındaki JavaScript kütüphanesidir ve swarm-cli komut satırı aracı tarafından kullanılır. Swarm Desktop bir kullanıcının kendi bilgisayarında bir Swarm düğümü çalıştırır ve düğümün özel anahtarlarını orada kaydeder.

Swarm Desktop 0.56.2 bugün yaklaşık 00:36 UTC'de GitHub'da görüntülendi ve yaklaşık 8,5 saat sonra kaldırıldı. Uygulamanın yerleşik güncelleyicisi bunu Windows x64 bilgisayarlarına ve Apple Silicon Mac'lerine yaklaşık 10 dakika içinde sunabilirdi. Intel Mac'ler buna hiçbir zaman sunulmadı ve Linux kurulumları otomatik olarak güncellenmez.

bee-js sürümü 13.3.0 bugün 00:09 ile 01:25 UTC arasında yaklaşık 75 dakika boyunca npm'de en son sürümdü. Kodu postinstall betiği olarak çalışır ve npm kurulum sırasında bunu otomatik olarak yürütür; kurulum betikleri devre dışı bırakılmadığı sürece. Bir projenin kodu çalıştırması için kütüphaneyi içe aktarması gerekmiyordu.

Projenin kendi swarm-cli ve bee-dashboard paketleri ile Swarm Desktop kaynak kodu 13.3.0'ı içeren sürüm aralıklarını kabul etti. Bu pencere içinde yapılan yeni bir kurulum kötü amaçlı sürümü çekmiş olabilirdi.

Raporların hiçbiri enfekte makinelerin sayısını vermedi. Bir güvenlik firmasının kaba tahmini bee-js 13.3.0'ın güvenlik tarayıcıları ve aynalar da dahil olmak üzere yaklaşık 10 kez indirildiğidir. Swarm Desktop 0.56.2'nin indirme sayısı 08:27 UTC'ye kadar araştırmacılar da dahil olmak üzere 65'e ulaştı.

Ethersphere'in bakıcıları 0.56.2'yi geri çekti ve bugün bunu temiz bir sürüm olan 0.56.3 ile değiştirdi. Yeni sürümü ayarlayan değişiklikte, bakıcılardan biri 0.56.2'nin "çalınan CI kimlik bilgileri kullanılarak bir saldırgan tarafından yayınlandığını ve geri çekildiğini" yazdı.

Sürüm 0.56.3, önceki sürüm 0.56.1 ile aynı koddur ve yeni verilen bir Geliştirici Kimliği sertifikası ile imzalanmıştır. Bakıcının olay notuna göre uygulamanın otomatik güncelleyicisi 0.56.2 kurulumlarını buna taşıyacaktır, ancak Linux paketleri yine de elle değiştirilmesi gerekir. İki sürümün kaynak kodunun karşılaştırılması sürüm numarası ve sürüm notlarının ötesinde hiçbir değişiklik bulamadı.

GitHub danışmanı bee-js 13.3.0 için şunu söylüyor: "Bu paketi yüklü veya çalışan herhangi bir bilgisayar tamamen tehlikeye atılmış olarak kabul edilmelidir." Bir yazılım tedarik zinciri güvenliği şirketi Swarm Desktop 0.56.2'nin yüklü olduğu herhangi bir bilgisayar için aynı tavsiyeyi sunuyor.

Her iki sürüm de aynı yükleyiciyi taşıyor. Bu, api.frameworkmetrics[.]xyz adresinden daha fazla kod indiren ve bunu kullanıcının izinleriyle çalıştıran birkaç satırlık koddur. bee-js'de yükleyici postinstall betiğidir ve Swarm Desktop'ta uygulama her başlatıldığında çalışır.

İndirilen kod Swarm Desktop'un veri klasöründe iki dosya arar: config.yaml ve data-dir/keys/swarm.key. Her ikisi de oradaysa, bunları saldırganların sunucusuna gönderir.

Anahtarı dosyası şifreli bir Ethereum keystore'dur, ancak Swarm Desktop şifresini config.yaml'da düz metin olarak tutar. Her iki dosya ile saldırganlar düğüm cüzdanının xDAI ve xBZZ jetonlarını, çek defteri fonlarını ve hissesini alabilir.

İndirilen kod ayrıca bir arka kapı yükler. Linux ve macOS'ta, gizli ~/.solidity klasöründe kaydedilen evjawbreaker adlı bir Go uzak kabuğudur. Linux'ta arka planda bir kullanıcı hizmeti olarak ve macOS'ta LaunchAgent olarak çalışır.

Kabuğu kontrol sunucusunun adresini bir Ethereum akıllı sözleşmesinden okur, böylece saldırganlar bu adresi istediği zaman değiştirebilir. Kötü amaçlı bee-js kodu eklenmeden 29 dakika önce bunu güncellemişlerdi.

Windows'ta indirilen kod, yapıcısı ConnectWise tarafından imzalanan gerçek bir ScreenConnect uzaktan erişim istemcisi yükler. İstemci bir sistem hizmeti olarak çalışır ve saldırganların rölesine bağlanır.

Kullanıcı yönetici ise kod, Kullanıcı Hesabı Denetimi istemini atlatmanın bilinen bir yolu aracılığıyla yönetici haklarını alır. Değilse, kullanıcı iptal ettiğinde istemi tekrar gösterir. Bu haklarla, bir Microsoft Defender hariç tutmasını ekler ve istemciyi sessizce yükler.

Her iki sürüm de Ethersphere'in yayınlarını otomatikleştirmek için kullandığı bee-worker hesabından geldi. Ne değişiklik imzalandı ne de çekme isteği olarak gönderildi.

bee-js için saldırganlar yeni sürüm için bir GitHub sürümü yayınladı ve bu projenin npm yayın iş akışını başlattı. Bu iş akışı onay gerektirmiyordu ve paketi 73 saniye içinde npm'ye yayınladı.

Projenin gerçek iş akışı bunu oluşturduğu için paket geçerli bir köken taşıyordu, bir npm paketini onu oluşturan depo ve iş akışına bağlayan kayıt. Köken bir paketin nerede oluşturulduğunu gösterir, içindeki kodun herhangi biri tarafından gözden geçirilip geçirilmediğini değil.

Swarm Desktop için saldırganlar projenin Apple ve Windows imzalama sertifikalarına sahip olan ve onay gerektirmeyen bir derleme iş akışını manuel olarak başlattı. macOS uygulaması projenin Geliştirici Kimliği ile imzalandı ve Apple tarafından onaylandı, bu nedenle macOS yalnızca normal ilk başlatma istemini gösterdi.