O lenei pou o loʻo iloiloina ai le osofaʻiga i Ledger o se faʻataʻitaʻiga o le auala na taʻitaʻia ai e le spear phising se osofaʻiga a le software supply chain (SSC) i le meafaigaluega software connect-kit na faʻaaogaina e atotupe masini a le kamupani, ma mafai ai e le tagata fai pese ona faʻaalu tupe e $600,000 le itiiti ifo.
Na oo mai lenei osofaʻiga i le faaiuga o le tausaga na tumu i mea na tutupu i le sapalai oloa. I lenei pou o le a matou iloiloina ai le osofaʻiga, lona aafiaga, le auala na taulimaina ai, ma a ni lesona e mafai ona aʻoaʻoina mai ai.
O Ledger ma ana tagata faʻaoga atotupe masini o ni sini manino lava ia a tagata solitulafono i luga o le initaneti. O tagata faʻamaʻimauina atotupe sa osofaʻia tagata faʻaoga Ledger e ala i taumafaiga phising i luga o pito i luma o polokalama crypto, ma e manaʻomia e tagata solitulafono ona iloa faʻamaopoopoga a tagata faʻaoga e faʻatino ai taumafaiga phising. Sa i ai ia Ledger se solia o faʻamaumauga e oʻo atu ia Iulai 2023 faʻapea foʻi ma le avea ai ma se vaega o le Gaoi o faʻamaumauga ia Setema 2020 i luga o la latou e-commerce Shopify, o se mea na tupu ma se aafiaga tele. O le pou "Fa'afouga: Taumafaiga e Puipui ai Au Fa'amatalaga ma Molia Tagata Fa'asalalau Spam” ua faaalia ai le loloto na oo i ai nei soliga.
E manaʻomia e Ledger ona faʻatauaina le saogalemu (o se vaega taua o la latou pisinisi), faʻatasi ai ma se fale suʻesuʻe i totonu (falepuipui) taulimaina fa'amaoniga o le saogalemu o masini, o se falaoa pupu polokalame, fa'asalalauga saogalemu, ma fa'ata'ita'iga taufa'amata'u.Se'ia o'o mai i le taimi nei e lelei lava …
Le auala na faia ai le osofaiga
Na iloa e Ledger se fa'alavelave e fa'aaoga ai le Ledger's Meafaigaluega Feso'ota'i a le DApp i le Aso Tofi, 14 o Tesema 2023. O lenei fa'alavelave na fa'aofiina ai le code leaga i totonu o le Ethereum-based decentralized applications (DApps) lea sa fa'aaogaina le Ledger Connect Kit, ma fa'asesēina ai tagata fa'aoga e sainia ni fefa'ataua'iga e fa'aalu ai a latou atotupe.
Sa vave ona iloa le fa'alavelave ma sa fa'atinoina se fofo mo sina taimi pu'upu'u mulimuli ane. I le taimi nei, e to'aitiiti le aofa'i o tagata fa'aoga na a'afia i le osofa'iga ma sainia ni fefa'ataua'iga na fa'aalu uma ai a latou atotupe.
Na amata le osofaʻiga ina ua aʻafia se tasi sa galue muamua i le Ledger i se osofaʻiga phishing lea na maua ai le avanoa i lana teugatupe NPM e ala i le session token. Na lolomiina e le au osofaʻi ni lomiga leaga o le @ledgerhq/connect-kit (1.1.5, 1.1.6 ma le 1.1.7, ua litaea nei). E mafai e le au osofaʻi ona faʻagaoioia ni code faʻafuaseʻi ma le tulaga tutusa o faʻatagaga e pei o le app atotupe: e mafai e le au osofaʻi ona faʻaalu vave tupe a tagata faʻaoga e aunoa ma se fegalegaleaiga, tufatufa atu le tele o fesoʻotaʻiga phishing e faʻasesē ai tagata faʻaoga, pe faʻaaogaina le popole o tagata faʻaoga e ala i le faʻatalitonuina o i latou e faʻaliliu atu aseta i se tuatusi fou, ma iʻu ai i le leiloa o aseta ona o le laʻuina mai o se atotupe pepelo.
E masani ona faʻaaogaina e le au faʻaoga o le atotupe (dApps) le masini fa'apipi'i-kit afifi mai Ledger e uta ai le Connect Kit i le taimi e fa'agaoioi ai mai se JavaScript CDN (jsDelivr). Ae paga lea, o le URL https://cdn.jsdelivr.net/npm/@ledgerhq/connect-kit@1 sa le'i fa'apipi'iina le lomiga tonu (1.1.4 i le taimi lea), o lea ina ua lafoina lomiga leaga, sa tautua (ma teuina) e le CDN. Ma e leai se siaki na fa'aaogaina e fa'amautinoa ai o le punaoa na sii mai mai le CDN o le mea moni lava lea na fa'amoemoeina (lea e tatau ona fa'aaogaina pe a tufatufa atu le code mai se CDN). O lenei faiga fa'avae siaki ua faaigoaina Fa'asa'o Fa'asao (SRI).
O le code na tuiina e foliga mai na fa'asesēina ai fa'amatalaga o fefa'ataua'iga, ma fa'asesēina ai tagata fa'aoga e fa'amaonia ai totogi na fa'asesēina. Mo se fa'ata'ita'iga, o se tagata fa'aoga e fa'amaonia se totogi fa'ailoga e fa'agaoioia ai le fa'atinoga o se app atonu na ia va'aia se fa'amaoniga mo se totogi i le tuatusi a le tagata faomea. E tusa lava po'o le a le saogalemu o le atotupe masini, ae na fa'aalu uma tupe.
Sailiga ma Suʻesuʻega
Ua amata ona lafoina e tagata faʻaoga eseese ni savali i le X (e taʻua foʻi o le Twitter) e faʻapea o le Zapper front-end "na faoa faamalosi". E avatu le faʻafetai ia Mathew Lilley, le CTO o le cryptotrader Sushi, o lē na muamua lapataʻi i se Twitter meli ua faaleagaina se “fesoota’iga web3 e masani ona fa’aaogaina”. Mulimuli ane na ia faasino atu i ai LedgerHQ/kisi-fesoota'i e pei o le faletusi ua faaleagaina, ma tuuina atu se iloiloga muamua, ma le ogaoga tele:
O le a le mea ua tupu?
— O aʻu o le Polokalama Faakomepiuta 🦇🔊 (@MatthewLilley) Tesema 14, 2023
I se aotelega, @ Faʻasolosolo ua faia se filifili o mea sese mata'utia.
1. O loʻo latou utaina le JS mai se CDN.
2. E lē o ni JS ua utaina i le lokaina o lomiga.
3. Na fa'aleagaina la latou CDN.
O le a ou ʻaloʻese mai le faʻaaogaina o SOʻO SE dApps seʻia faʻamaonia mai e a latou 'au ua latou faʻaitiitia le osofaʻiga. https://t.co/a3brXNQSx9
Na tatalaina e le tagata faʻaoga 0xViva se tiketi i le GitHub project repo: [FA'AVAVE] O lenei nofoaga teu oloa e fa'aaogaina se lomiga leaga o le afifi npm @ledgerhq/connect-kit, 1.1.7.
I le aso 15 o Tesema, 2023, na lomia ai e le pepa saogalemu o le poloka poloka SlowMost se pou o suʻesuʻega tu'uina atu o fa'amatalaga atoa o fa'amatalaga leaga.
E leʻi faʻaleagaina le atotupe faʻapitoa a le Ledger, naʻo le Ledger Connect Kit. Peitaʻi, talu ai o le tele o talosaga e faʻaaogaina lena faletusi, e pei o le SushiSwap, Zapper, MetalSwap, Harvest Finance, Revoke.cash, ma isi, o le lautele o le aafiaga sa taua tele. E tusa ai ma le bittrace.io, o nisi na aʻafia, ona o le popole, na taumafai e fesiitai aseta i se tuatusi fou, ae na la'uina mai se polokalama atotupe pepelo!
O le aso lava lea, sa sa'o lava Jameson Lopp tweeted i luga o mea sese na mafai ai ona manuia le osofaiga:
E foliga mai o le faalavelave tau saogalemu i le asō o le taunuuga lea o ni faaletonu eseese se tolu i Ledger:
- Jameson Lopp (@lopp) Tesema 14, 2023
1. Tu'u tauaso le code e aunoa ma le pine o se fa'amatalaga patino ma siaki tupe.
2. Le fa'amalosia o "tulafono a tagata e to'alua" e fa'atatau i le iloiloga ma le fa'atinoina o tulafono fa'akomepiuta.
3. Le fa'aleaogaina le avanoa faigaluega muamua.
Le auala na taulimaina ai le faalavelave
Na tusia e le Pule Sili o le Ledger, o Pascal Gauthier, i le aso lava lea na tupu ai le osofaiga se tusi fa'ailoa tuʻuina atu o nisi faʻamatalaga auiliili e uiga i le mea na tupu, lea e mautinoa lava e lelei: O le nanaina o le ulu i le oneone e pei o se oseti o le auala sili lea ona leaga e taulima ai soʻo se faʻalavelave i luga o le initaneti.
E manaia le fausaga o le tusi: Sa vave ona iloa le i ai o ni faʻamatalaga leaga o le faletusi e faʻaalu ai tupe, o se mea lelei (o le faafitia o le mea moni o se mea valea):
“O le asō na matou oʻo i ai i se faʻaaogaina i le Ledger Connect Kit, o se faletusi Javascript e faʻatinoina ai se faʻamau e mafai ai e tagata faʻaoga ona faʻafesoʻotaʻi a latou masini Ledger i DApps lona tolu (upega tafaʻilagi e fesoʻotaʻi ma atotupe).
O lenei fa'alavelave fa'atino o le i'uga lea o se tagata sa galue muamua na a'afia i se osofa'iga phishing, lea na mafai ai e se tagata fai mea leaga ona lafoina se faila leaga i le Ledger's NPMJS (o se pule o afifi mo le Javascript code e fa'asoa i le va o polokalama).
Sa matou galulue vave, faatasi ai ma la matou paaga WalletConnect, e foia le faʻalavelave faʻaleagaina, faʻafouina le NPMJS e aveese ma tape le code leaga i totonu o le 40 minute talu ona maua. O se faʻataʻitaʻiga lelei lea o le galulue faʻatasi vave o le alamanuia e foia ai luʻitau tau puipuiga.
E fa'apefea? E le'i aveeseina le fa'amaoniga o se tagata sa galue muamua ma sa i ai ana aia tatau e lolomi ai?
Na sosoo ai ma le lisiina e le Pule Sili o pulega saogalemu o loʻo iai ae na ia faʻailoa mai o loʻo i ai se mea e vaivai i le avanoa a le NPM:
“O lenei la, ou te fia talanoa e uiga i le mafuaʻaga na tupu ai lenei mea, pe faʻapefea ona matou faʻaleleia atili a matou faiga faʻatino mo le saogalemu e faʻaitiitia ai lenei lamatiaga faʻapitoa i le lumanaʻi, ma faʻasoa atu la matou fautuaga i le alamanuia, ina ia mafai ai ona tatou malolosi faʻatasi.”
le standard O le faiga masani i Ledger e leai se tagata e toatasi e mafai ona faʻapipiʻi le code e aunoa ma se iloiloga a le tele o vaega. E iai a matou pulega malolosi o avanoa, iloiloga i totonu, ma saini e tele o code pe a oʻo i le tele o vaega o la matou atinaʻe. O le tulaga lea i le 99% o a matou faiga i totonu. Soʻo se tagata faigaluega e tuʻua le kamupani e aveesea lana avanoa mai faiga uma a Ledger.
O se mea na tupu fa'afuase'i lea. O se fa'amanatuga lea e le tumau le saogalemu, ma e tatau i Ledger ona fa'aleleia pea a tatou faiga ma fa'agasologa o le saogalemu. I lenei vaega, o le a fa'atino e Ledger ni pulega fa'amalosi mo le saogalemu, e fa'afeso'ota'i ai a tatou fausaga. pipeline e faʻatinoina tulafono faʻapitoa software supply chain security i le auala tufatufaina atu o le NPM."
Ia, e foliga mai o le teugatupe NPM faatasi ai ma faatagaga e lolomi ai lomiga fou o le faletusi e le o matua malosi tele a latou puipuiga nai lo isi vaega o latou fausaga polokalama. O se mea na tupu ona o se mea leaga?
O le fa'ai'uga o le tusi e sili atu ona standard vaega o fegalegaleaiga ma pulega, “faamatalaga o loo i lalo o le vaavaaiga”, ma faatoesega:
“Ua galulue fa’atasi Ledger ma pulega ma o lo’o faia mea uma matou te mafaia e fesoasoani ai a’o fa’agasolo lenei su’esu’ega. O le a lagolagoina e Ledger tagata fa’aoga ua a’afia i le fesoasoani e su’e lenei tagata leaga, fa’amasinoina i latou, siaki tupe, ma galulue fa’atasi ma leoleo e fesoasoani e toe maua mai aseta na gaoia mai le tagata faomea. Matou te matua fa’anoanoa lava i mea na tutupu i le aso mo tagata ta’ito’atasi ua a’afia.”
Ua pulea nei le tulaga ma ua mavae atu le faamata’u. Matou te malamalama i le popole na mafua mai i lenei mea mo le alalafaga ma le siosiomaga lautele.”
O loʻo faʻapipiʻi mai i le tusi se faʻasologa o taimi, lea e matua lelei tele mo tagata faʻaoga e malamalama ai i le auala na iloa ai le faʻalavelave, poʻo a ni gaioiga faʻapitoa e taofia ai ma toe faʻaleleia ai, ma le auala e toe maua ai/taui ai mea na faaleagaina i tagata faʻaoga na aʻafia. O le vaega sili lea ona faʻapitoa i tupe siliva:
“I le taeao nei CET, na a’afia ai se tagata sa galue muamua i le Ledger i se osofa’iga fa’a-phishing lea na maua ai le avanoa i lana teugatupe NPMJS. Na lolomiina e le tagata osofa’i se lomiga leaga o le Ledger Connect Kit (e a’afia ai lomiga 1.1.5, 1.1.6, ma le 1.1.7). Na fa’aaogaina e le code leaga se poloketi pepelo a le WalletConnect e toe fa’afo’i ai tupe i se atotupe a se tagata fa’a-hacker.” Sa logoina le 'au tekonolosi ma le saogalemu a Ledger ma sa fa'atinoina se fa'aleleiga i totonu o le 40 minute talu ona iloa e Ledger. Sa ola le faila leaga mo le tusa ma le 5 itula, peita'i matou te talitonu o le taimi na fa'aalu ai tupe sa fa'atapula'aina i se vaitaimi e itiiti ifo i le lua itulaSa galulue faʻatasi Ledger ma WalletConnect o ē na vave ona faʻagata le galuega faʻatino pepelo. O le Ledger Connect Kit moni ma faʻamaonia lomiga 1.1.8 ua faʻasalalauina nei ma ua saogalemu e faʻaaoga.
Mo fau fale o loʻo atiaʻe ma fegalegaleai ma le code a le Ledger Connect Kit: o le 'au atiaʻe connect-kit i le poloketi NPM ua naʻo le faitau ma e le mafai ona faʻalauiloa saʻo le afifi NPM mo mafuaʻaga tau saogalemu. Ua matou faʻaliliuina i totonu mea lilo e lolomi i le Ledger's GitHub. Tagata atiaʻe, faʻamolemole toe siaki pe o loʻo e faʻaaogaina le lomiga aupito lata mai, 1.1.8.
Ledger, faatasi ai ma AtotupeConnect ma a matou paʻaga, ua lipotia le tuatusi o le atotupe a le tagata leaga. Ua vaaia nei le tuatusi i luga Chainalysis. Tether ua fa'a'aisa le USDT a le tagata fai ata leaga.”
E tusa ai ma lenei mea, sa vave ona taofia ona sa vave ona faaleaogaina le galuega tau faasese a le WalletConnect mo le toe faaui i tua o tupe. Ae ui i lea, sa i ai nisi o atotupe sa maumau uma.
A'afiaga: Le Auala na Tali Atu ai le Alamanuia
O nisi tagata faʻaoga na faʻaalia le ita i Ledger ona o le le taofia o le faʻaletonu, aʻo isi na lapataʻi mai e uiga i le lamatiaga o le faʻalagolago i faletusi a isi vaega.
O le pisinisi o le saogalemu i luga o le initaneti e iai sona vaega faapitoa i tupe faakomepiuta. Ua lauiloa taumafaiga e faʻaumatia ai atotupe, lea e masani ona faʻaaogaina ai upega tafaʻilagi taufaasese e faʻasesē ai tagata faʻaoga. O le pisinisi SaaS masani (Scam-as-a-Service) e iai tagata faʻapitoa mo le faʻaumatia o atotupe, e pei o le faʻatau oloa taufaasese Alavai Inferno lea faasilasilaga o le taofia o galuega ia Novema 2023. E foliga mai o se fuʻa sese lea, e tusa ai ma gaoioiga talu ai nei na vaʻaia i Dune's @scamsniffer. O le fuafuaga latou te mulimuli ai na faʻamatalaina e lenei pou a le Group-IB:
Na tuʻuina mai e nisi o tagata suʻesuʻe ni faʻamatalaga i mea na lē mafai ai ona faʻataunuʻuina le osofaʻiga. fa'amatalaga mai le tagata fa'aoga brianddk i le tiketi i luga o le fale teu oloa a le poloketi ua tuʻuina mai ai ia i matou ni malamalamaaga i le mafuaʻaga autū:
A fa'amatalaga mai se isi tagata fa'aoga, o HenryQW, na faasino atu i le mea lona lua na mafai ai e faʻamatalaga leaga ona faʻasalalau e ala i le CDN:
E vave tele ona vaʻaia ni fuafuaga umi e faʻamalosia atili ai le puipuiga o atotupe crypto e faasaga i osofaʻiga phishing. E foliga mai e manaʻomia le tausisia o se standard e tutusa ma le mea o le PA-DSS e mafai ona taliaina mo i latou e faʻatau atu polokalama faakomepiuta o talosaga totogi i le pisinisi numera.
Ma O Lenei, Lesona ua Aoaoina!
E ofoofogia le auala e mafai ai e se atotupe meafaigaluega, o le faʻataʻitaʻiga o le saogalemu o crypto, na solia faigofie e ala i le fa'aitiitia o le avanoa i fa'amaoniga a le NPM o se “tagata faigaluega muamua” a le Ledger (atonu o le igoa ole tagata faʻaoga/upu faʻalilolilo e aunoa ma le puipuiga a le 2FA, poʻo se faʻailoga ulufale). O lenei mea na tupu o se faʻamanatuga mataʻina pe a e feagai ma faitioga, e manaʻomia ona puipuia lau atinaʻe polokalama faakomepiuta ma le faʻaeteete e pei o au oloa polokalama poʻo masini komepiuta.
O le tele o osofaʻiga i le sapalai o polokalama faakomepiuta e amata i le faaleagaina o se teugatupe i totonu (e masani lava mo se tagata atiaʻe poʻo se inisinia devops). Ona agai atu lea o le au osofaʻi i autafa e solia ai faiga i totonu o le atinaʻe o polokalama faakomepiuta e pei o le CI/CD faiga po'o meafaigaluega fa'atino, pe pulea le fa'aopoopoina o manatu leaga i fale teu oloa o le code, lea e mafai ona iloa pe afai o lo'o fa'atinoina lelei le taulimaina o suiga ma le puipuiga o lala ma iloiloga o code. Ae e le mana'omia e tagata osofa'i ona alu loloto pe afai o le sini o se faletusi lauiloa o lo'o lolomiina i se resitala lautele, aemaise lava pe afai e mafai ona latou maua le avanoa e lolomi ai (tusia) fa'amaoniga. Ma o le mea lenei na tupu i lenei osofa'iga.
2FA fa'amaoni, aemaise lava le faʻaaogaina o elemene malolosi e pei o ki saogalemu, e faʻatapulaʻaina ai le lamatiaga i galuega faʻatino fegalegaleai. Mo CI/CD pipelines, fa'ailoga ulufale ma le avanoa fa'atapula'aina ua teuina o se CI/CD mea lilo o le auala masani lea e fai (ma e le tatau ona fa'asalalauina le fa'ailoga ulufale). Ae paga lea, e foliga mai e le'i iai i le tagata faigaluega se seti malosi o le 2FA. E fa'atagaina e le NPM fa'alapotopotoga e fa'amalosia le 2FA (ae e filifili lava lenei mea, ae le o le mea masani), atonu o le mea lea e tatau ona iai i le Ledger. Ma aua ne'i galo e fa'aopoopo le mea talafeagai faaleaogaina o tusipasi taualumaga mo tagata faigaluega sa i ai muamua, aemaise lava i le avanoa i punaoa e taua tele e pei o le lautele o le NPM e umia e le faʻalapotopotoga.
Fa'amauina o le lomiga mo faʻalagolago ma faʻaletonu o le lomiga ua toe iloiloina o se faiga e faʻaitiitia ai le salalau o faʻalagolago leaga. I le tulaga o le mea na tupu i le Ledger, o lomiga o le faletusi na masini fa'apipi'i-kit na ave mai le CDN sa tatau ona pine, ma "aua le faʻatuatua i soo se mea e lafo e le CDN". O le i ai o se fa'amaoniga o le siaki aofa'i mo se faʻataʻitaʻiga e ala i le SRI (pe o se faiga faʻailoga numera foʻi e faʻamaonia ai le puna) e tatau ona faʻaaogaina pe a tosoina mai se CDN mo le utaina o tulafono faʻa-dynamic.
O le vaega o totoe o se tala.
Mo faiga fa'a-phishing masani e fa'atatau i tagata e fa'aoga atotupe, o le fesili lenei: O le a le mea e mafua ai ona pa'u'ū tagata fa'aoga i mailei na faia e tagata solitulafono ma fa'amaonia ai fefa'ataua'iga latou te le'i fuafuaina e faia? O 'upega tafa'ilagi fa'a-phishing i lenei vaega ua mamanuina lelei ma fa'atalitonuina, e fa'ata'ita'i i ituaiga crypto lauiloa; ma latou te ofoina atu fo'i ni token e leai se totogi, gaosia NFTs ma isi taui. O le 'alofia o tagata fa'aoga mai le pa'u'ū i ia mailei o se fa'afitauli o le sailia lea o se fofo.
Ma ia aua ne'i galo e fesootai fa'a'ole'ole fa'akomepiuta o osofaʻiga, o se taufaʻamataʻu lautele, lea e pulea ai e fili atinaʻe ao e faʻatautaia ai le au eli mo cryptocurrency, e masani lava mo tupe faalilolilo e pei o Monero XMR ma Zcash, faʻatasi ai ma tala faʻasolopito o fefaʻatauaʻiga natia. E taua le Cryptojacking aua e ono aʻafia ai SOʻO SE faʻalapotopotoga, ma e ui lava e ono maualalo le tupe mama mo le tagata osofaʻi, ae o le tau mo le tagata ua aʻafia e ono tele (Sysdig na taʻua i le lenei lipoti e $53 le tau e manaʻomia mo le faʻalapotopotoga a le tagata ua aʻafia mo $1 uma e eliina mo le tagata osofaʻi).
mau faasino
- Tiketi[FA'AVAVE] O lenei fale teu oloa o lo'o fa'aaogaina se fa'aliliuga leaga o le afifi npm @ledgerhq/connect-kit, 1.1.7" i le teuina o oloa a le Github.
- Tusi mai le Pule Sili o le Ledger e uiga i le mea na tupu, 14 Tesema 2023.
- Lipoti o Faalavelave Tau Puipuiga, saunia e Ledger, 20 Tesema 2023.
- Ledger Exploit e lamatia ai le DeFi; Fai mai Sushi 'Aua le Fegalegaleai ma SOI DApps', lafo i totonu CoinDesk e Oliver Knight, 14 Dec 2023.
- Osofa'iga o le Supply Chain i le Ledger Connect Kit: Iloiloina o le Aafiaga ma Fuafuaga Puipuia. Pou a SlowMist i le osofaʻiga, Tesema 2023.
- Manatu Fa'apitoa mo le Saogalemu o le Web3: Mea e Fa'amamago ai Atotupe, saunia e Jammel Weaver, i Rektify AI, Iul 2023.
Matamata i la matou Vitio Fa'ata'ita'i
