Blokzincir güvenlik şirketi SlowMist, Ethereum ekosistemindeki merkeziyetsiz depolama ağı Swarm ile bağlantılı Ethersphere yazılımlarını hedef alan bir tedarik zinciri saldırısı tespit edildiğini açıkladı.
SlowMist’e göre saldırganlar iki yazılımla bağlantılı GitHub hesaplarını ele geçirerek resmi yazılım güncelleme sürecine kötü amaçlı kod ekledi. Saldırı Windows, macOS ve Linux kullanıcılarını etkileyebilir.
Güvenlik araştırmacıları, zararlı sürümlerin kripto cüzdanlarına ait dosyaları ve özel anahtarları ele geçirmek için kullanılabileceğini belirtti. Saldırganların ayrıca etkilenen cihazlarda kalıcı uzaktan erişim sağlayabileceği bildirildi.
Saldırıda Ethereum Akıllı Sözleşmesi Kullanıldı
Saldırının dikkat çeken yönlerinden biri, kötü amaçlı yazılımın yönetilmesinde Ethereum altyapısından yararlanılması oldu. SlowMist’e göre zararlı yazılım cihazlara kötü amaçlı JavaScript kodu indirerek çalıştırıyor. Saldırganlar ayrıca bir Ethereum akıllı sözleşmesini merkeziyetsiz komuta ve kontrol (C2) sistemi olarak kullanıyor.
Bu yöntem, saldırganların kötü amaçlı yazılımı yeniden dağıtmadan bağlantı kuracağı sunucu adreslerini değiştirmesine imkan tanıyor. Böylece saldırının kullandığı altyapı uzaktan güncellenebiliyor.
Söz konusu Ethereum akıllı sözleşmesinin daha önce SleepyDuck ve EtherDuck adlı kötü amaçlı yazılım kampanyalarıyla da bağlantılı olduğu tespit edildi. Bu saldırılarda Open VSX platformundaki zararlı eklentiler aracılığıyla yazılım geliştiricileri hedef alınmıştı.
Aynı altyapının yeniden kullanılması, son saldırının kripto geliştiricileri ve kullanıcılarını hedef alan daha geniş bir kampanyayla bağlantılı olabileceği ihtimalini gündeme getirdi.
Kullanıcılara Güncelleme Uyarısı
Socket ve SafeDep araştırmacılarının yaptığı bağımsız incelemeler de zararlı yazılımın cüzdanları ve kullanıcı cihazlarını hedeflediğine ilişkin bulguları doğruladı.
SlowMist, etkilenen paketi kullananların yazılımı kaldırarak güvenli olduğu belirtilen 13.2.0 sürümüne dönmesini tavsiye etti. Swarm Desktop v0.56.2 kullananların ise temiz v0.56.3 sürümüne güncelleme yapması önerildi.
Ethereum’da Ele Geçirilen Yazılımlar Nedeniyle Kritik Güvenlik Uyarısı yazısı ilk önce CryptoPotato üzerinde ortaya çıktı.
