Исследователи обнаружили ряд подозрительных пакетов в npm и выяснили, что те были созданы для сбора приватных ключей Ethereum и получения удаленного доступа к компьютерам жертв через SSH.
Специалисты компании Phylum рассказывают, что злоумышленники стремились «получить SSH-доступ к машине жертвы путем записи открытого ключа SSH в файл authorized_keys».
С этой вредоносной кампанией удалось связать следующие пакеты, которые пытались имитировать легитимный пакет ethers:
- ethers-mew (62 загрузки);
- ethers-web3 (110 загрузок);
- ethers-6 (56 загрузок);
- ethers-eth (58 загрузок);
- ethers-aaa (781 загрузка);
- ethers-audit (69 загрузок);
- ethers-test (336 загрузок).
Отмечается, что некоторые из пакетов, опубликованные от лица аккаунтов crstianokavic и timyorks, предположительно использовались только для тестирования, поскольку содержали лишь минимальные изменения. Самым свежим и наиболее завершенным пакетом атакующих был пакет ethers-mew.
Это далеко не первый случай, когда злоумышленники используют тайпсквоттинг и маскируют свою малварь под различные популярные решения. К примеру, в прошлом году аналитики Phylum описывали тайпсквоттерский пакет пакет ethereum-cryptographyy, который передавал приватные ключи жертв на сервер в Китае, используя вредоносную зависимость.
В рамках новой кампании использовался иной подход: вредоносный код встраивался непосредственно в сами пакеты, что позволяло хакерам предавать приватные ключи Ethereum на принадлежащий им домен ether-sign[.]com.
Также отмечается, что атака требовала от жертв реального использования пакетов в своем коде (например, создания нового инстанса Wallet с использованием вредоносного пакета), в отличие от других случаев, когда для запуска малвари достаточно просто установить сам пакет.
Уже упомянутый ethers-mew также содержал средства для модификации файла /root/.ssh/authorized_keys, чтобы добавить туда принадлежащий злоумышленникам SSH-ключ и получить постоянный удаленный доступ к взломанному хосту.
«Все эти пакеты, а также учетные записи их авторов просуществовали очень короткое время и, по всей видимости, в итоге были удалены самими авторами», — сообщают специалисты Phylum.
