SlowMist: Terdeteksi aktivitas serangan rantai pasokan berbahaya yang menargetkan pengguna npm dan pengembang DeFi

Foresight News melaporkan, berdasarkan pemantauan oleh SlowMist, MistEye mendeteksi adanya aktivitas jahat terkoordinasi pada rantai pasokan npm yang memanfaatkan pustaka kode bot trading palsu dan paket npm bertema DeFi. Aktivitas ini menyebarkan alat pencuri informasi JavaScript kepada pengguna npm, pengembang DeFi, dan pengguna bot trading.

Aktivitas ini melibatkan 30 paket npm berbahaya, termasuk stake-math@3.5.4. Paket tersebut muncul sebagai dependensi pada donoaccestag/forex-mt5-trading-bot. Pustaka kode tersebut menunjukkan tanda-tanda anomali: bergantung pada paket npm yang telah dilaporkan berbahaya secara keamanan, serta terdapat sekitar 2300 fork yang sangat serupa dan kemungkinan besar dibuat secara massal, terutama terkonsentrasi di akun poly-stocks.

Perilaku penyerang potensial meliputi pencurian data sensitif lokal seperti dompet kripto, cookies browser, kata sandi yang disimpan, riwayat penjelajahan, kredensial pengembang, riwayat shell, kotak penyimpanan password manager, kunci privat, frasa mnemonic, serta token API yang ditemukan di kode sumber. Pengembang harus segera menghapus paket npm yang terdampak, melakukan audit pada package.json / package-lock.json dan log CI untuk menemukan 30 paket berbahaya tersebut, menganggap sistem yang pernah menjalankan npm install sebagai target potensial, segera mengganti dompet, kunci privat, token npm, kredensial cloud, kunci SSH, serta token API yang sudah terpapar, dan membangun ulang lingkungan terdampak dari image yang bersih.