Sự nhầm lẫn về CryptoDAO: mười một gói npm, một payload, thu hoạch CI/CD và bí mật ví tiền điện tử

 Sự quy kết và hành vi quan sát được

Mọi thứ về cụm máy chủ này đều hướng về một phía. Tất cả mười một gói phần mềm đều đã được xuất bản. bởi tài khoản npm người lớn (aduljune@proton.me, một địa chỉ chưa được xác minh không có kho lưu trữ nguồn liên kết), trong vòng 25 phút, cùng lúc 99.99.99 phiên bản, vận chuyển một recon.js có nội dung giống hệt nhau từng byte trên mọi gói (MD5 khớp với tất cả mười một bản sao được trích xuất). Đó là một payload. Được đóng dấu vào danh sách tên, chứ không phải là tái sử dụng mã độc lập.

Danh sách tên xác định mục tiêu dự định. cryptodao-* và cdao mô tả Bố cục module riêng tư của một dự án tiền điện tử/DAO và danh sách thu thập dữ liệu của payload. phản ánh phỏng đoán đó: bên cạnh các bí mật CI và đám mây chung, nó đặc biệt đạt tới KHÓA_RIÊNG, TUYỆT VỜI, SEED_PHRASEvà Ethereum/BSC RPC và khóa nhà cung cấp. .NS Đường dẫn tìm kiếm và danh sách thư mục là GitLab-runner. Cụ thể. Hiệu ứng có thể quan sát được là bất kỳ pipeline bị lừa cài đặt những thứ này Tên miền sẽ chuyển tiếp các mã thông báo CI, khóa đám mây và dữ liệu trên đĩa. .NS bí mật — và, đối với Một dự án blockchain, vật liệu ví của nó — được chuyển cho hai nhà thu gom bên thứ ba.

Chúng tôi không khẳng định ai là người điều hành tài khoản hoặc họ dự định làm gì với tài khoản đó. dữ liệu. Những sự thật hiển nhiên: các tên gọi này nhắm đến một loại dữ liệu cụ thể. Chuỗi công cụ nội bộ, phần tải trọng đọc và truyền các giá trị bí mật thực sự, và Hệ thống cơ sở hạ tầng đã hoạt động.

Tác động, xu hướng và hướng dẫn phòng thủ

Sự nhầm lẫn về sự phụ thuộc Nó vẫn hiệu quả vì nó khai thác hành vi của trình phân giải, chứ không phải là một lỗ hổng trong bất kỳ gói hàng nào. Phương tiện vận chuyển ở đây rất đơn giản — mười một gói gần như trống rỗng. các gói hàng — nhưng bán kính vụ nổ là bất kỳ pipeline nhầm lẫn khi ưu tiên npm công khai Đối với một tên nội bộ. Các trình chạy CI là nơi tồi tệ nhất để điều đó xảy ra: chúng lưu giữ chính xác là các mã thông báo và .NS các tập tin mà phần mềm độc hại này đọc và cài đặt. các phụ thuộc không tương tác, vì vậy sau khi cài đặt Chạy mà không có ai để ý.

Cụm này cũng phù hợp với một mô hình mà chúng ta thường thấy: các gói dữ liệu được tải trong quá trình cài đặt gây ra hiện tượng... được dùng như "nghiên cứu" hoặc "thăm dò" trong khi thực hiện việc thu thập thông tin xác thực thực tế. Nhãn Việc thay đổi nội dung trong tệp không làm thay đổi chức năng của mã khi chạy chương trình. Hai lựa chọn thiết kế giữ nguyên... Hoạt động diễn ra yên tĩnh: mọi thao tác mạng và hệ thống tập tin đều được bao bọc trong một lớp bảo mật. Trình xử lý ngoại lệ sẽ loại bỏ các lỗi, ví dụ như lỗi gửi bị chặn hoặc thiếu tệp. Không tạo ra bất kỳ thông báo chẩn đoán nào, và thứ duy nhất được in ra là một dòng chữ vô hại. [trinh sát] … đã cài đặt dòng chữ hòa lẫn vào cuộc trò chuyện lắp đặt thông thường. Việc sử dụng webhook.site và Pipedream cũng được thiết kế để mang lại sự tiện lợi tối đa — cả hai đều miễn phí. Dịch vụ thu nhận yêu cầu được cung cấp tức thì, do đó người vận hành không cần máy chủ nào. Tên máy chủ của chúng và các đích đến trông giống như các tên máy chủ SaaS thông thường trong nhật ký đầu ra.

Yếu tố kinh tế là điều khiến vấn đề này đáng được các nhà phòng thủ quan tâm, mặc dù... Mã nhà mạng rất đơn giản. Việc đăng ký mười một tên miền không tốn chi phí gì, dữ liệu chỉ có một. Tệp được sao chép mười một lần, và trình quản lý gói thực hiện tất cả quá trình thực thi. Một tệp duy nhất cấu hình sai pipeline Bất kỳ nơi nào sử dụng một trong những tên gọi này đều phải trả toàn bộ chi phí. hoạt động.

Các bước cụ thể dành cho người phòng thủ:

• Gắn các phạm vi nội bộ vào sổ đăng ký riêng tư của bạn. Cấu hình npm để sử dụng tên nội bộ.
   và phạm vi chỉ được giải quyết dựa trên registry của bạn (ánh xạ registry .npmrc có phạm vi, hoặc một máy chủ proxy không bao giờ chuyển sang npm công khai cho các namespace thuộc sở hữu). Hãy đặt trước tên phạm vi công khai của bạn để không ai khác có thể đăng ký chúng.

• Commit các tệp khóa và cài đặt với tùy chọn –ignore-scripts trong CI nếu khả thi, hoặc Kiểm tra kỹ lưỡng nhóm nhỏ các thư viện phụ thuộc thực sự cần đến tập lệnh cài đặt.  recon.js không thể chạy nếu sau khi cài đặt không được thực thi.

• Hãy xử lý phiên bản 99.99.99 (hoặc một con số cao ngất ngưởng khác) của một tên có vẻ nội bộ. như một dấu hiệu cảnh báo trong việc xem xét các mối phụ thuộc và giám sát sổ đăng ký.

• Cảnh báo về việc thoát dữ liệu trong quá trình cài đặt. A sau khi cài đặt điều đó mở một HTTPS đi ra ngoài kết nối — đặc biệt là khi tính năng xác thực chứng chỉ bị vô hiệu hóa — với Việc chặn các dịch vụ bắt yêu cầu như webhook.site, Pipedream hoặc các dịch vụ tương tự ở biên mạng và gắn cờ trong nhật ký xây dựng là điều đáng làm.

• Đi tìm các hiện vật. Kiểm tra người chạy bộ /tmp/.npm_recon_*.json và cho [recon] … đã được cài đặt trên … dấu hiệu trong nhật ký CI gần đây. Nếu tìm thấy, hãy xoay vòng mọi thông tin xác thực bị lộ ra pipeline — Các token CI, khóa đám mây, token đăng ký và bất kỳ khóa hạt giống ví hoặc khóa riêng tư nào có trong tệp môi trường hoặc tệp .env.