Les Hackers Cryptographiques Utilisent Désormais les Contrats Intelligents Ethereum pour Masquer les Charges Utiles Malveillantes
Ethereum est devenu le nouveau front des attaques de la chaîne d'approvisionnement logicielle.
Les chercheurs de ReversingLabs ont découvert cette semaine deux packages NPM malveillants qui utilisaient des contrats intelligents Ethereum pour dissimuler du code nuisible, permettant au malware de contourner les contrôles de sécurité traditionnels.
NPM est un gestionnaire de packages pour l'environnement d'exécution Node.js et est considéré comme le plus grand registre logiciel au monde, où les développeurs peuvent accéder et partager du code qui contribue à des millions de programmes logiciels.
Les packages "colortoolsv2" et "mimelib2" ont été téléchargés sur le référentiel Node Package Manager largement utilisé en juillet. Ils semblaient être des utilitaires simples à première vue, mais en pratique, ils exploitaient la blockchain d'Ethereum pour récupérer des URL cachées qui dirigeaient les systèmes compromis vers le téléchargement de malware de deuxième stade.
En intégrant ces commandes dans un contrat intelligent, les attaquants ont déguisé leur activité en trafic blockchain légitime, rendant la détection plus difficile.
« C'est quelque chose que nous n'avons pas vu auparavant », a déclaré la chercheuse Lucija Valentić de ReversingLabs dans leur rapport. « Cela met en évidence l'évolution rapide des stratégies d'évasion de détection par les acteurs malveillants qui sillonnent les référentiels open source et les développeurs. »
La technique s'appuie sur un vieux playbook. Les attaques passées ont utilisé des services de confiance comme GitHub Gists, Google Drive ou OneDrive pour héberger des liens malveillants. En exploitant plutôt des contrats intelligents Ethereum, les attaquants ont ajouté une touche crypto à une tactique de chaîne d'approvisionnement déjà dangereuse.
L'incident fait partie d'une campagne plus large. ReversingLabs a découvert que les packages étaient liés à de faux référentiels GitHub qui se faisaient passer pour des bots de trading de cryptomonnaies. Ces dépôts étaient garnis de commits fabriqués, de faux comptes d'utilisateurs et de comptes d'étoiles gonflés pour paraître légitimes.
Les développeurs qui ont extrait le code risquaient d'importer un malware sans en être conscients.
Les risques de la chaîne d'approvisionnement dans les outils crypto open source ne sont pas nouveaux. L'année dernière, les chercheurs ont signalé plus de 20 campagnes malveillantes ciblant les développeurs via des référentiels tels que npm et PyPI.
Beaucoup visaient à voler des identifiants de portefeuille ou à installer des mineurs de cryptomonnaies. Mais l'utilisation de contrats intelligents ethereum comme mécanisme de livraison montre que les adversaires s'adaptent rapidement pour se fondre dans les écosystèmes blockchain.
Un enseignement pour les développeurs est que les commits populaires ou les mainteneurs actifs peuvent être falsifiés, et même les packages apparemment anodins peuvent contenir des charges utiles cachées.
