Hackers publiceerden malafide versies van Ethersphere’s bee-js en Swarm Desktop, gericht op diefstal van wallet keys en installatie van backdoors.
Hackers hebben de release-automatisering van het Ethersphere-project misbruikt om kwaadaardige versies van twee tools voor het Swarm gedecentraliseerde opslagnetwerk te verspreiden: bee-js 13.3.0 en Swarm Desktop 0.56.2. Beide releases bevatten code die is ontworpen om de wallet key te stelen die Swarm Desktop bewaart voor zijn node, inclusief het opgeslagen wachtwoord dat deze ontgrendelt. Daarnaast installeert de malware een backdoor op Windows-, macOS- en Linux-systemen.
De bee-js package is de JavaScript-bibliotheek achter Swarm Desktop en de swarm-cli commandoregeltool. Swarm Desktop draait een Swarm-node op de computer van de gebruiker en slaat daar de private keys van de node op. Beide kwaadaardige versies zijn inmiddels verwijderd en de beheerders van het project hebben een schone update van Swarm Desktop uitgebracht. Deze maatregelen verwijderen echter geen reeds geïnstalleerde backdoors en beschermen niet tegen keys die al zijn verzonden. Tot het moment van schrijven zijn er geen meldingen van diefstal van fondsen.
Swarm Desktop 0.56.2 werd rond 00:36 UTC op GitHub gepubliceerd en ongeveer 8,5 uur later weer ingetrokken. Volgens een incidentanalyse van Socket, een bedrijf gespecialiseerd in supply chain security, kon de ingebouwde updater de update binnen ongeveer 10 minuten aanbieden aan Windows x64- en Apple Silicon Mac-systemen. Intel Macs kregen de update niet aangeboden en Linux-installaties worden niet automatisch bijgewerkt. De bee-js versie 13.3.0 was ongeveer 75 minuten beschikbaar op npm, van 00:09 tot 01:25 UTC, en bevatte een postinstall script dat automatisch werd uitgevoerd bij installatie, ook als het project de bibliotheek niet importeerde. Hierdoor kon een verse installatie binnen dat tijdsbestek de malafide versie binnenhalen.
Er zijn geen exacte aantallen bekend van geïnfecteerde systemen. De schatting van het beveiligingsbedrijf is dat bee-js 13.3.0 ongeveer 10 keer is gedownload, inclusief door beveiligingsscanners en mirrors. Swarm Desktop 0.56.2 werd tot 08:27 UTC ongeveer 65 keer gedownload, inclusief door onderzoekers. De beheerders van Ethersphere hebben versie 0.56.2 ingetrokken en vervangen door een schone versie 0.56.3, die dezelfde code bevat als 0.56.1 maar is ondertekend met een nieuw Developer ID-certificaat, zoals vermeld in de incidentnotitie van het project. De automatische updater zal gebruikers van 0.56.2 naar 0.56.3 brengen, maar Linux-pakketten moeten handmatig worden vervangen. Een vergelijking van de broncode door The Hacker News toonde geen verschillen behalve het versienummer en de release-opmerkingen. Op het moment van schrijven is 13.2.0 weer de nieuwste bee-js versie op npm en is 13.3.0 niet meer beschikbaar.
De GitHub advisory voor bee-js 13.3.0 waarschuwt dat elke computer waarop dit pakket is geïnstalleerd of draait als volledig gecompromitteerd moet worden beschouwd. SafeDep, een bedrijf gespecialiseerd in software supply chain security, adviseert hetzelfde voor systemen met Swarm Desktop 0.56.2. Gebruikers die bee-js in projecten of CI-jobs gebruiken, wordt aangeraden om lockfiles, package caches, interne registries en CI-installatielogs te doorzoeken op @ethersphere/bee-js@13.3.0, inclusief indirecte afhankelijkheden. Versie 13.2.0 moet worden vastgezet en alle cachede kopieën van 13.3.0, inclusief npm-mirrors, moeten worden verwijderd. Als 13.3.0 met install scripts is geïnstalleerd, moet het systeem als gecompromitteerd worden beschouwd, ook als er geen fouten in de installatielog staan, omdat de kwaadaardige code netwerkfouten verbergt. Vanaf een schoon systeem moeten alle wachtwoorden, tokens en sleutels die de gebruiker of CI-job kon lezen, worden geroteerd. Voor gebruikers van Swarm Desktop geldt dat zij moeten controleren of zij versie 0.56.2 gebruiken en zo ja, deze moeten bijwerken.
