SlowMist a émis une alerte urgente pour les utilisateurs de l’écosystème Ethereum après la détection d’une attaque complexe sur la chaîne d’approvisionnement visant des logiciels d’Ethersphere. Deux éléments logiciels ont été compromis et les attaquants ont exploité des comptes GitHub ainsi que les processus de publication légitimes pour déployer des versions malveillantes.
Cette compromission concerne des composants faisant partie de Swarm, le réseau de stockage décentralisé rattaché à l’écosystème Ethereum, et peut affecter des utilisateurs sous Windows, macOS et Linux. SlowMist indique que les versions malveillantes pourraient permettre le compromission de justificatifs de portefeuilles, le vol de clés privées et l’installation de portes dérobées permanentes sur les systèmes touchés.
Mécanisme lié à Ethereum
Parmi les éléments les plus préoccupants, le malware récupère et exécute du code JavaScript malveillant et utilise un contrat intelligent Ethereum comme dépôt de configuration décentralisé pour son système de commande et contrôle (C2). Ce mécanisme permet aux attaquants de mettre à jour dynamiquement les adresses des serveurs qui pilotent le malware sans devoir redéployer le logiciel malveillant.
SlowMist note que ce même contrat intelligent avait déjà été associé aux campagnes malveillantes SleepyDuck et EtherDuck, qui ciblaient des développeurs via des extensions malveillantes sur la place de marché Open VSX, ce qui suggère que la nouvelle attaque pourrait faire partie d’une opération plus large visant à compromettre des développeurs et des utilisateurs de cryptomonnaies. Des chercheurs indépendants de Socket et SafeDep ont par ailleurs découvert un malware visant à voler des fichiers de portefeuille Swarm et à déployer des outils d’accès à distance persistants.
Recommandations et correctifs
En réponse, SlowMist a conseillé aux utilisateurs de désinstaller immédiatement le paquet affecté et de revenir à la version propre 13.2.0. Les utilisateurs de Swarm Desktop en v0.56.2 sont invités à mettre à jour vers la version v0.56.3 jugée propre.
