แฮกเกอร์คริปโตใช้สมาร์ตคอนแทรกต์ Ethereum เพื่อซ่อนไวรัสมัลแวร์

นักวิจัยด้านความปลอดภัยที่ ReversingLabs ได้ระบุการโจมตีห่วงโซ่อุปทานรูปแบบใหม่โดยใช้สัญญาอัจฉริยะ Ethereum เพื่อปกปิดการแจกจ่ายมัลแวร์ แพ็กเกจ NPM สองตัวที่เป็นอันตราย ซึ่งปลอมตัวเป็นยูทิลิตี้ที่ดูไม่เป็นภัยชื่อ “colortoolsv2” และ “mimelib2” ได้ผนวกการเรียกสัญญาอัจฉริยะเพื่อดึง URL ที่ซ่อนอยู่ซึ่งส่งมอบ payload ระยะที่สองไปยังระบบที่ถูกโจมตี เทคนิคนี้สามารถหลบเลี่ยงการตรวจสอบโค้ดแบบสแตติกและไดนามิกแบบดั้งเดิมโดยฝังตรรกะการดึงข้อมูลไว้ในธุรกรรมบล็อกเชน ผสมผสานกิจกรรมที่เป็นอันตรายเข้ากับทราฟฟิกเครือข่ายที่ถูกต้องตามกฎหมาย

ผู้โจมตีได้ลงทะเบียนที่เก็บ GitHub ปลอมที่เต็มไปด้วยคอมมิตปลอม ตัวเลขดาวเพิ่มขึ้น และการมีส่วนร่วมของผู้ใช้ปลอมเพื่อเพิ่มความน่าเชื่อถือ สภาพแวดล้อมของเหยื่อที่รันแพ็กเกจเหล่านี้ได้ติดต่อกับโหนด Ethereum เพื่อเรียกฟังก์ชันสัญญา ซึ่งส่งกลับลิงก์ดาวน์โหลดที่ถูกซ่อนไว้ วิธีการนี้ทำให้การตรวจจับซับซ้อนมากขึ้น เนื่องจากการเรียกกลับผ่านบล็อกเชนทิ้งร่องรอยไว้ในรีจิสทรีซอฟต์แวร์ตามมาตรฐานน้อยมาก นักวิเคราะห์ชี้ว่านี่เป็นวิวัฒนาการของกลยุทธ์เก่าที่พึ่งพาบริการโฮสติ้งสาธารณะอย่าง GitHub Gists หรือพื้นที่จัดเก็บคลาวด์สำหรับการส่งมอบ payload

ReversingLabs รายงานว่าตัวอย่างการโจมตีใช้ที่อยู่สัญญาอัจฉริยะสองแห่งที่ควบคุมการแจกจ่ายเมตาดาต้าของ payload ที่เข้ารหัส เมื่อแพ็กเกจถูกรัน กลไกการแจกจ่ายของรีจิสทรี NPM จะโหลดโมดูลสตับที่สอบถามสัญญาเพื่อหา endpoint ที่ถูกปิดบัง จากนั้น endpoint จะให้ตัวโหลดไบนารีที่เข้ารหัส AES ซึ่งถอดรหัสและรันมัลแวร์ขั้นสูงที่ออกแบบมาเพื่อเก็บข้อมูลประจำตัวและรันโค้ดระยะไกล เป้าหมายดูเหมือนจะเป็นเวิร์กสเตชันของนักพัฒนาและเซิร์ฟเวอร์สร้างงาน ทำให้เกิดความกังวลเกี่ยวกับการแพร่กระจายต่อเนื่องผ่านท่อ CI/CD

แคมเปญนี้เน้นย้ำถึงการผสานกันที่เพิ่มขึ้นระหว่างเทคโนโลยีบล็อกเชนและภัยคุกคามด้านความปลอดภัยทางไซเบอร์ โดยผู้โจมตีฝังตรรกะการดึงข้อมูลไว้ในปฏิบัติการสัญญาอัจฉริยะ ทำให้ได้ช่องทางที่ซ่อนเร้นซึ่งหลีกเลี่ยงการป้องกันหลายอย่าง ทีมงานด้านความปลอดภัยจึงถูกกระตุ้นให้ติดตั้งการกรองที่รับรู้บล็อกเชน ตรวจสอบการเรียก RPC ขาออกที่ผิดปกติ และบังคับใช้งานตรวจสอบห่วงโซ่อุปทานอย่างเข้มงวดสำหรับทุกการพึ่งพา รีจิสทรีแพ็กเกจหลักและแพลตฟอร์มการพัฒนาต้องเผชิญกับแรงกดดันในการเพิ่มการตรวจสอบการโต้ตอบข้อมูลบนเชนที่เกี่ยวข้องกับการดาวน์โหลดแพ็กเกจ

เพื่อตอบสนองต่อข้อค้นพบเหล่านี้ ผู้จำหน่ายเครื่องมือโอเพนซอร์สกำลังอัปเดตเครื่องมือสแกนเพื่อตรวจจับรูปแบบการเรียกใช้สัญญาอัจฉริยะ กฎไฟร์วอลล์เครือข่ายและโปรแกรมการศึกษานักพัฒนาตอนนี้เน้นย้ำความจำเป็นในการตรวจสอบโค้ดที่มีปฏิสัมพันธ์กับจุดเชื่อมต่อบล็อกเชน ขณะที่ผู้โจมตีขัดเกลากลยุทธ์การหลีกเลี่ยงบนเชน ความร่วมมือระหว่างชุมชนคริปโต บริษัทด้านความปลอดภัย และผู้ดูแลรีจิสทรีจึงเป็นสิ่งสำคัญในการลดภัยคุกคามที่เกิดขึ้นใหม่และปกป้องระบบนิเวศของนักพัฒนา