Атака на цепочку поставок NPM с использованием блокчейна Ethereum

Исследователи Checkmarx обнаружили уникальную атаку на цепочку поставок в экосистеме NPM, использующую блокчейн Ethereum.

Вредоносный пакет, получивший название «jest-fet-mock», нацелен на разработчиков с помощью мультиплатформенного вредоносного ПО, использующего смарт-контракты Ethereum для командно-контрольных (C2) операций. Это свидетельствует о сближении технологии блокчейн с традиционными векторами атак - такой метод еще не встречался в пакетах NPM.

Механика атаки и распространение

Пакет «jest-fet-mock», маскирующийся под доверенную утилиту для тестирования JavaScript, впервые был замечен в середине октября. Он скрывает свои истинные намерения за тщательно продуманным фасадом, имитируя два легитимных пакета: «fetch-mock-jest», который получает около 200 000 загрузок в неделю, и „Jest-Fetch-Mock“, достигающий примерно 1,3 миллиона загрузок в неделю.

Используя технику опечаток, злоумышленники неправильно написали слово «fetch» как «fet», сохранив при этом ключевые элементы «jest» и «mock», чтобы обманом заставить разработчиков загрузить пакет.

После установки пакет использует скрипты предустановки NPM для активации вредоносного кода. Эта вредоносная программа специально нацелена на инфраструктуры разработки, выполняя функции похищения информации в средах Windows, Linux и macOS, закрепляя сохранение данных с помощью специальных системных механизмов.

Все варианты подключаются к серверу C2 злоумышленников, поддерживая постоянную связь для дальнейшей эксплуатации.

Командно-административное управление с помощью блокчейна Ethereum

Примечательным аспектом этой атаки на цепочку поставок является использование блокчейна Ethereum для операций C2. Смарт-контракт Ethereum, расположенный по адресу «0xa1b40044EBc2794f207D45143Bd82a1B86156c6b», использует свой метод «getString» для распространения адресов серверов C2.

Используя присущие блокчейну неизменяемость и децентрализацию, злоумышленники создали устойчивую инфраструктуру, которую сложно уничтожить или перехватить, что повышает стойкость и адаптивность их вредоносной кампании.

Рипл-эффект и контрмеры

Проведя анализ, исследователи Checkmarx выявили варианты вредоносного ПО, адаптированные для каждой операционной системы:

• Windows: (SHA-256: df67a118cacf68ffe5610e8acddbe38db9fb702b473c941f4ea0320943ef32ba)
• Linux: (SHA-256: 0801b24d2708b3f6195c8156d3661c027d678f5be064906db4fefe74e1a74b17)
• macOS: (SHA-256: 3f4445eaf22cf236b5aeff5a5c24bf6dbc4c25dc926239b8732b351b09698653)

Ни один из этих вариантов не был идентифицирован как вредоносный ни одним из существующих решений безопасности на VirusTotal. Такая анонимность представляет значительную угрозу для сред разработки, где эти утилиты пользуются большим доверием и интегрированы в конвейеры CI/CD.

Взломав утилиты для разработки и тестирования, злоумышленники могут захватить контроль над важнейшими системами CI/CD и сборки, что представляет серьезную опасность для цепочек поставок программного обеспечения. Инновационное использование блокчейна в операциях C2 свидетельствует об эволюции стратегий атак на цепочки поставок, делая традиционные подходы к обнаружению и устранению последствий менее эффективными.

Поскольку Phylum и Socket уже сообщили о дополнительных вредоносных пакетах, связанных с этой кампанией, угроза продолжает нарастать.

Этот последний инцидент служит важным предупреждением для команд разработчиков, которые должны тщательно проверять методы управления пакетами, подтверждать легитимность утилит тестирования и применять надежные меры безопасности для защиты своих сред.