Blockchain güvenlik şirketi SlowMist, Ethereum ekosistemindeki kullanıcılar için acil güvenlik uyarısı yayımladı. Uyarı, Ethersphere yazılımlarında tespit edilen karmaşık bir tedarik zinciri saldırısına dayanıyor. SlowMist, iki farklı yazılım sürümünün saldırganlar tarafından ele geçirildiğini açıkladı.
Saldırının kapsamı genişledi
SlowMist’e göre saldırganlar, GitHub hesaplarına sızarak meşru yazılım yayımlama süreçlerini kötüye kullandı ve zararlı sürümleri dağıtıma soktu. Söz konusu riskin Windows, macOS ve Linux dahil birden fazla işletim sistemini etkileyebileceği belirtildi.
Etkilenen yazılımlar, Ethereum ekosistemi içindeki merkeziyetsiz depolama ağı Swarm’ın bir parçası. Swarm, veri depolama ve içerik dağıtımı için geliştirilen bir altyapı olarak biliniyor. Bu nedenle olay yalnızca tek bir uygulamayla sınırlı görülmüyor, daha geniş bir kullanıcı ve geliştirici kitlesini ilgilendiriyor.
SlowMist, saldırganların GitHub hesaplarını ele geçirerek meşru sürüm süreçlerini kullandığını ve bu yolla zararlı yazılım dağıttığını açıkladı.
Zararlı yazılım cüzdan bilgilerini hedef alıyor
Güvenlik uzmanları, bu zararlı sürümlerin kripto cüzdan kimlik bilgilerini ele geçirebileceği, özel anahtarları çalabileceği ve etkilenen sistemlerde kalıcı arka kapılar oluşturabileceği uyarısında bulundu. Bu durum, saldırının sıradan bir kötü amaçlı yazılım vakasının ötesine geçtiğine işaret ediyor.
SlowMist, zararlı yazılımın kötü amaçlı JavaScript kodu indirip çalıştırdığını aktardı. Bunun yanında saldırganların, zararlı yazılımı yöneten sunucu adreslerini yeniden dağıtım yapmadan güncelleyebilmek için bir Ethereum akıllı sözleşmesini merkeziyetsiz komuta ve kontrol yapılandırma deposu olarak kullandığı ifade edildi.
Mini sözlük: Komuta ve kontrol ya da C2, saldırganların zararlı yazılım bulaşmış sistemleri uzaktan yönetmek için kullandığı altyapıdır. Akıllı sözleşme üzerinden yapılandırma tutmak, bu altyapının daha zor kapatılmasına ve adreslerin dinamik biçimde değiştirilmesine imkan verebilir.
Önceki saldırılarla bağlantı inceleniyor
Aynı Ethereum akıllı sözleşmesinin daha önce SleepyDuck ve EtherDuck olarak bilinen kötü amaçlı yazılım saldırılarıyla ilişkilendirildiği belirtildi. Bu kampanyalar, Open VSX pazarındaki zararlı eklentiler üzerinden geliştiricileri hedef almıştı. Yeni olayın da kripto para geliştiricileri ve kullanıcılarına yönelik daha geniş ölçekli bir operasyonun parçası olabileceği değerlendiriliyor.
Bağımsız güvenlik araştırmacıları Socket ve SafeDep de Swarm cüzdan dosyalarını çalmayı ve kalıcı uzaktan erişim araçları kurmayı amaçlayan zararlı bileşenler tespit etti. Bu bulgular, saldırının yalnızca teorik bir risk olmadığını, aktif veri hırsızlığı ve sistem ele geçirme amacı taşıdığını gösteriyor.
SlowMist, etkilenen paketin derhal kaldırılmasını ve temiz 13.2.0 sürümüne geri dönülmesini önerdi.
Kullanıcılara güncelleme çağrısı yapıldı
SlowMist, kullanıcıların etkilenen paketi hemen kaldırmasını ve temiz 13.2.0 sürümüne dönmesini tavsiye etti. Swarm Desktop v0.56.2 kullananlara ise temiz kabul edilen v0.56.3 sürümüne güncelleme çağrısı yapıldı.
Uyarı, özellikle Ethereum ekosisteminde yazılım indiren geliştiriciler ve cüzdan kullanan kişiler açısından güvenilir sürüm doğrulamasının önemini yeniden gündeme taşıdı. Olayın teknik ayrıntıları incelenirken, etkilenen sistemlerde kapsamlı güvenlik taraması yapılması gerektiği belirtiliyor.
USDT
AAPL