Найти в Дзене
CISOCLUB

Вредоносная кампания npm угрожает разработчикам Ethereum

«`html В последнее время обострилась угроза для разработчиков Ethereum в результате активной вредоносной кампании, нацеленной на кражу конфиденциальных данных. Злоумышленники используют поддельные плагины Hardhat и Nomic Foundation, чтобы извлечь важную информацию, такую как закрытые ключи. Атака, использующая методы цепочки поставок, охватывает ключевые компоненты экосистемы разработки Ethereum, в частности: Злоумышленники применяют вредоносные пакеты npm, чтобы подорвать доверие пользователей, извлекая такие конфиденциальные данные, как: В ходе кампании было идентифицировано 20 вредоносных пакетов, созданных тремя основными злоумышленниками. Наиболее популярным из них стал пакет @nomicfoundation/sdk-test, который собрал 1092 загрузки. Последствия такой атаки могут быть катастрофическими: Злоумышленники используют тактику олицетворения, дублируя названия законных пакетов и организаций. Примеры таких подделок включают: Эти пакеты имитируют законные плагины Hardhat и могут содержать вре
Оглавление

«`html

В последнее время обострилась угроза для разработчиков Ethereum в результате активной вредоносной кампании, нацеленной на кражу конфиденциальных данных. Злоумышленники используют поддельные плагины Hardhat и Nomic Foundation, чтобы извлечь важную информацию, такую как закрытые ключи.

Цели и методы атаки

Атака, использующая методы цепочки поставок, охватывает ключевые компоненты экосистемы разработки Ethereum, в частности:

  • Nomic Foundation
  • Hardhat
  • Связанные плагины

Злоумышленники применяют вредоносные пакеты npm, чтобы подорвать доверие пользователей, извлекая такие конфиденциальные данные, как:

  • Закрытые ключи
  • Мнемонические фразы
  • Сведения о конфигурации

Объем атаки

В ходе кампании было идентифицировано 20 вредоносных пакетов, созданных тремя основными злоумышленниками. Наиболее популярным из них стал пакет @nomicfoundation/sdk-test, который собрал 1092 загрузки. Последствия такой атаки могут быть катастрофическими:

  • Скомпрометированная среда разработки
  • Потенциальные бэкдоры в производственных системах
  • Финансовые потери

Тактики и стратегии злоумышленников

Злоумышленники используют тактику олицетворения, дублируя названия законных пакетов и организаций. Примеры таких подделок включают:

  • @nomisfoundation/hardhat-configure
  • @monicfoundation/hardhat-config

Эти пакеты имитируют законные плагины Hardhat и могут содержать вредоносный код, используя названия, напоминающие подлинные детали, например:

Законный плагин @nomiclabs/hardhat-ethers может быть имитирован вредоносным пакетом @nomisfoundation/hardhat-configure.

Рекомендации для разработчиков

Атака подрывает доверие к экосистемам с открытым исходным кодом, создавая риск установки вредоносных контрактов в основной сети Ethereum. В условиях таких угроз разработчики и организации должны повысить уровень бдительности при выборе пакетов и усовершенствовать методы аудита и мониторинга.

Использование таких инструментов, как бесплатное приложение Socket для GitHub, может значительно снизить вероятность установки вредоносных пакетов. Возможности обнаружения угроз на базе искусственного интеллекта обеспечивают выявление атак и других показателей риска для цепочки поставок, что позволяет своевременно реагировать на потенциальные угрозы.

Заключение

Эта кампания служит напоминанием о необходимости повышенной осторожности в экосистеме с открытым исходным кодом. Надежная защита и проактивные меры могут помочь разработчикам избежать серьезных последствий, связанных с киберугрозами.

«`

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.

Оригинал публикации на сайте CISOCLUB: "Вредоносная кампания npm угрожает разработчикам Ethereum".

Смотреть публикации по категориям: Новости | Мероприятия | Статьи | Обзоры | Отчеты | Интервью | Видео | Обучение | Вакансии | Утечки | Уязвимости | Сравнения | Дайджесты | Прочее.

Подписывайтесь на нас: VK | Rutube | Telegram | Дзен | YouTube | X.