Хакеры публикуют зараженные релизы Swarm через взломанные аккаунты на GitHub

Под удар попали разработчики приложений на Ethereum, которые работают на Windows, macOS и Linux. Хакеры получили доступ к аккаунтам Swarm на GitHub и распространяли через них зараженное ПО. После установки такой версии программа выходила на инфраструктуру атакующих, скачивала вредоносный JavaScript-код и запускала его на устройстве пользователя.

Управлять операцией злоумышленники стали с помощью смарт-контрактов Ethereum. По данным SlowMist, один из контрактов служил децентрализованным хранилищем конфигураций. Это позволяло менять адреса управляющих серверов удаленно, не выпуская новых зараженных сборок. Из-за такой схемы атаку сложнее заметить, а вредоносную инфраструктуру труднее заблокировать.

Аналитики SlowMist нашли связь использованного контракта с более ранними вредоносными инструментами SleepyDuck и EtherDuck. Те тоже били по разработчикам и распространялись через расширения в маркетплейсе Open VSX. Совпадение методов, по оценке специалистов, указывает на один и тот же почерк.

SlowMist рекомендует удалить скомпрометированные версии Swarm и установить проверенную чистую версию 13.2.0. Тем, кто пользуется Swarm Desktop v0.56.2, нужно обновиться до безопасной v0.56.3.

Точное число пострадавших и размер возможного ущерба пока неизвестны. Инцидент показывает, что взлом учетных записей разработчиков может открыть путь к атакам на всю экосистему Ethereum и грозит пользователям потерей криптоактивов.

Ранее SlowMist также обнаружила вредоносную программу, которую выдавали за взломанную версию платного тарифа TradingView Premium. Этот инфостилер крал конфиденциальные данные и пароли от криптокошельков.