Les hackers de la crypto utilisent des contrats intelligents Ethereum pour dissimuler des logiciels malveillants

Les chercheurs en sécurité de ReversingLabs ont identifié une nouvelle attaque de la chaîne d'approvisionnement exploitant les contrats intelligents Ethereum pour obscurcir la distribution de logiciels malveillants. Deux packages NPM malveillants, se faisant passer pour des utilitaires inoffensifs nommés « colortoolsv2 » et « mimelib2 », intégraient des appels aux contrats intelligents pour récupérer des URL cachées qui livraient des charges utiles de deuxième étape aux systèmes compromis. Cette technique a contourné les inspections classiques statiques et dynamiques du code en intégrant la logique de récupération au sein des transactions blockchain, mélangeant ainsi l'activité malveillante au trafic réseau légitime.

Les attaquants ont enregistré de faux dépôts GitHub remplis de commits bidons, d’un nombre de stars gonflé et de contributions utilisateur contrefaites pour renforcer la confiance. Les environnements des victimes exécutant ces packages contactaient des nœuds Ethereum pour invoquer des fonctions de contrat, qui retournaient des liens de téléchargement cachés. Cette méthode augmentait la complexité de la détection, car les rappels basés sur la blockchain laissaient peu de traces dans les registres logiciels standards. Les analystes notent que cela représente une évolution des tactiques plus anciennes qui s’appuyaient sur des services d’hébergement publics comme GitHub Gists ou le stockage en cloud pour la livraison des charges.

ReversingLabs rapporte que les échantillons d’attaque exploitent deux adresses de contrats intelligents contrôlant la distribution des métadonnées des charges utiles chiffrées. Lors de l’exécution des packages, le mécanisme de distribution du registre NPM charge un module stub qui interroge le contrat pour un point de terminaison masqué. Ce point de terminaison sert ensuite un chargeur binaire chiffré en AES, qui déchiffre et exécute un malware avancé conçu pour la collecte de credentials et l’exécution de code à distance. Les cibles semblent inclure les postes de travail des développeurs et les serveurs de build, suscitant des inquiétudes quant à une propagation ultérieure via les pipelines CI/CD.

Cette campagne souligne l’intersection croissante entre la technologie blockchain et les menaces en cybersécurité. En intégrant la logique de récupération dans les opérations des contrats intelligents, les adversaires obtiennent un canal furtif qui échappe à de nombreuses défenses établies. Les équipes de sécurité sont encouragées à mettre en place un filtrage conscient de la blockchain, à surveiller les appels RPC sortants inhabituels et à appliquer un audit rigoureux des chaînes d’approvisionnement pour toutes les dépendances. Les grands registres de packages et plateformes de développement sont sous pression pour améliorer la surveillance des interactions sur chaîne liées aux téléchargements de packages.

En réponse à ces découvertes, les fournisseurs d’outils open-source mettent à jour les moteurs de scan pour détecter les schémas d’invocation de contrats intelligents. Les règles de pare-feu réseau et les programmes de formation des développeurs soulignent désormais la nécessité d’examiner attentivement le code qui interagit avec les points de terminaison blockchain. Alors que les adversaires affinent leurs stratégies d’évasion on-chain, des efforts coordonnés au sein de la communauté crypto, des sociétés de sécurité et des mainteneurs des registres sont essentiels pour atténuer les menaces émergentes et protéger les écosystèmes des développeurs.