SlowMist: Phát hiện hoạt động tấn công chuỗi cung ứng độc hại nhằm vào người dùng npm và các nhà phát triển DeFi

Theo Foresight News, dựa trên giám sát từ SlowMist, MistEye đã phát hiện một hoạt động phối hợp độc hại trên chuỗi cung ứng npm, trong đó kẻ tấn công sử dụng mã nguồn giả mạo về bot giao dịch và các gói npm có chủ đề DeFi để phát tán công cụ đánh cắp thông tin JavaScript tới người dùng npm, lập trình viên DeFi và các bot giao dịch.

Hoạt động này liên quan đến 30 gói npm độc hại, bao gồm stake-math@3.5.4, gói này xuất hiện như một phần phụ thuộc bị khoá trong donoaccestag/forex-mt5-trading-bot. Mã nguồn này cho thấy nhiều dấu hiệu bất thường: phụ thuộc vào các gói npm đã bị báo cáo là độc hại, và có khoảng 2.300 bản phân nhánh có tính chất đồng nhất cao, có thể được tạo hàng loạt, tập trung chủ yếu dưới tài khoản poly-stocks.

Hành vi tiềm tàng của kẻ tấn công bao gồm đánh cắp dữ liệu nhạy cảm trên máy địa phương như ví điện tử, cookie trình duyệt, mật khẩu đã lưu, lịch sử duyệt web, thông tin xác thực của lập trình viên, lịch sử shell, kho lưu trữ trình quản lý mật khẩu, khoá riêng, từ khoá khôi phục và mã API phát hiện trong mã nguồn. Lập trình viên nên ngay lập tức loại bỏ các gói npm bị ảnh hưởng, kiểm toán package.json / package-lock.json và nhật ký CI để tìm kiếm 30 gói độc hại này, coi các hệ thống đã từng chạy npm install là đối tượng bị tấn công tiềm tàng, thay đổi kịp thời các ví, khoá riêng, mã thông báo npm, thông tin xác thực đám mây, khoá SSH và mã API đã bị lộ, đồng thời tái tạo môi trường bị ảnh hưởng từ bản sao sạch.