Cảnh báo: Dự án Ethersphere bị tấn công chuỗi cung ứng, phát tán mã độc đánh cắp ví

Dự án Ethersphere vừa trở thành nạn nhân của một cuộc tấn công chuỗi cung ứng nghiêm trọng. Kẻ tấn công đã lợi dụng quy trình tự động hóa phát hành phần mềm (release automation) để tung ra các phiên bản chứa mã độc của hai công cụ quan trọng trong mạng lưới lưu trữ phi tập trung Swarm: bee-js phiên bản 13.3.0 và Swarm Desktop phiên bản 0.56.2.

Mã độc hoạt động như thế nào?

Khi được cài đặt, các phiên bản này sẽ tự động tải về và thực thi mã độc với mục tiêu chính là đánh cắp khóa ví (wallet key) và mật khẩu dùng để giải mã ví được lưu trữ trên máy tính của người dùng. Ngoài ra, mã độc còn cài đặt một backdoor trên các hệ điều hành Windows, macOS và Linux.

Cụ thể, mã độc tìm kiếm các tệp tin config.yaml và data-dir/keys/swarm.key trong thư mục dữ liệu của Swarm Desktop. Do Swarm Desktop lưu trữ mật khẩu ở dạng văn bản thuần (plain text) trong tệp cấu hình, kẻ tấn công có thể dễ dàng chiếm đoạt toàn bộ tài sản, bao gồm token xDAI, xBZZ và các khoản tiền trong chequebook.

• Trên Linux/macOS: Mã độc cài đặt một remote shell bằng ngôn ngữ Go có tên là evjawbreaker, chạy ngầm dưới dạng dịch vụ hệ thống.
• Trên Windows: Mã độc lợi dụng phần mềm điều khiển từ xa hợp pháp ScreenConnect để duy trì quyền truy cập, đồng thời thực hiện các kỹ thuật bypass User Account Control (UAC) và thêm ngoại lệ vào Microsoft Defender để tránh bị phát hiện.

Cách thức tấn công

Theo phân tích từ các chuyên gia bảo mật, kẻ tấn công đã chiếm đoạt thông tin xác thực CI (Continuous Integration) của dự án. Điều này cho phép chúng tự động hóa việc phát hành phần mềm mà không cần thông qua bước kiểm duyệt mã nguồn hay yêu cầu pull request. Các tệp tin độc hại thậm chí còn được ký số hợp lệ, khiến hệ thống bảo mật của Apple và Windows không đưa ra cảnh báo nguy hiểm.

Khuyến nghị cho người dùng và nhà phát triển

Nếu bạn đã từng cài đặt hoặc chạy các phiên bản bị ảnh hưởng, hãy coi như máy tính của mình đã bị xâm nhập hoàn toàn. Các chuyên gia khuyến cáo:

• Đối với người dùng Swarm Desktop: Kiểm tra tệp log bee-desktop.log. Nếu thấy phiên bản 0.56.2, hãy ngay lập tức chuyển toàn bộ tài sản, tiền trong chequebook và stake sang một ví mới được tạo trên thiết bị sạch. Sau đó, cài đặt phiên bản 0.56.3 đã được nhà phát triển cập nhật.
• Đối với nhà phát triển sử dụng bee-js: Kiểm tra các tệp lockfile và log CI để tìm phiên bản 13.3.0. Hãy xóa bỏ các bản sao đã lưu trong cache, chuyển về sử dụng phiên bản 13.2.0 và thực hiện thay đổi toàn bộ mật khẩu, token hoặc khóa bí mật có nguy cơ bị lộ.
• Xử lý triệt để: Việc gỡ cài đặt phần mềm không loại bỏ được backdoor. Cách an toàn nhất là cài đặt lại hệ điều hành từ một bản sao lưu sạch (trusted image) và xóa thủ công các thư mục/dịch vụ liên quan như ~/.solidity/, solidity-langsupport-runner.service hoặc ScreenConnect Client.

Hiện tại, dự án Ethersphere đã gỡ bỏ các phiên bản độc hại và phát hành bản vá 0.56.3. Các nhà nghiên cứu bảo mật cho rằng nhóm đứng sau cuộc tấn công này có liên quan đến chiến dịch SleepyDuck và EtherDuck từng xuất hiện trước đây.

Nguồn tham khảo: The Hacker News