Hợp đồng thông minh Ethereum trở thành nơi ẩn náu mới nhất cho phần mềm độc hại

Tôi đã nhận thấy một xu hướng đáng lo ngại khi các hacker hiện đang khai thác các hợp đồng thông minh Ethereum để che giấu các lệnh phần mềm độc hại, tạo ra một cơn ác mộng cho các chuyên nghiệp an ninh mạng như tôi.

Điều đặc biệt gây thất vọng là cách mà những kẻ tấn công này ẩn nấp trong lưu lượng blockchain trông hợp pháp, khiến công việc phát hiện của tôi gần như trở nên không thể.

Một Vector Tấn Công Mới Xuất Hiện

ReversingLabs gần đây đã phát hiện hai gói dường như vô hại trên kho NPM - “colortoolsv2” và “mimelib2” - mà bí mật lấy các hướng dẫn từ hợp đồng thông minh Ethereum.

Đây không phải là những gói phần mềm độc hại điển hình. Thay vì lưu trữ các liên kết gây hại trực tiếp, chúng hoạt động như các trình tải, lấy địa chỉ máy chủ điều khiển và điều khiển trước khi cài đặt phần mềm độc hại thứ cấp.

“Đó là điều mà chúng tôi chưa thấy trước đây,” Lucija Valentić từ ReversingLabs cho biết. Tôi rất sốc khi thấy kẻ tấn công thích nghi nhanh chóng với các phương pháp của họ để lừa tránh các giao thức bảo mật của chúng tôi.

Bot Giao Dịch Giả Và Mẹo Xã Hội

Đây không chỉ là một nỗ lực đơn lẻ. Các gói này là một phần của một chiến dịch lừa đảo rộng lớn hơn chủ yếu diễn ra qua GitHub.

Tôi đã xem xét những kho lưu trữ bot giao dịch tiền điện tử giả mạo này - chúng thật sự thuyết phục với các cam kết giả tạo, nhiều hồ sơ người duy trì giả và tài liệu bóng bẩy được thiết kế để đánh lừa các nhà phát triển. Sự chú ý đến từng chi tiết trong việc tạo ra các dự án trông đáng tin cậy trong khi che giấu ý định độc hại của chúng gần như đáng ngưỡng mộ.

Trong năm 2024, chúng tôi đã ghi nhận 23 chiến dịch độc hại liên quan đến crypto nhằm vào các kho lưu trữ mã nguồn mở. Chiến thuật mới nhất này kết hợp các lệnh blockchain với kỹ thuật lừa đảo xã hội làm tăng đáng kể độ khó trong việc phòng thủ.

Vào đầu năm nay, Nhóm Lazarus của Bắc Triều Tiên đã triển khai phần mềm độc hại dựa trên hợp đồng Ethereum tương tự bằng cách sử dụng các kỹ thuật khác nhau. Các sự cố khác bao gồm một kho GitHub bot giao dịch Solana giả mạo đã đánh cắp thông tin đăng nhập ví, và thư viện Python “Bitcoinlib” bị xâm phạm.

Mô hình này không thể phủ nhận - các công cụ phát triển tiền điện tử và kho mã nguồn mở đã trở thành những nơi săn lùng. Các tính năng blockchain như hợp đồng thông minh chỉ làm phức tạp thêm nỗ lực phát hiện.

Đánh giá của Valentić là đúng - những kẻ tấn công liên tục tìm kiếm những cách mới để vượt qua các biện pháp phòng vệ của chúng ta. Việc sử dụng các hợp đồng Ethereum cho các lệnh độc hại thể hiện sự đổi mới không ngừng của chúng trong việc đi trước các biện pháp bảo mật.

Hình ảnh nổi bật từ Meta, biểu đồ từ TradingView

Thông báo: Chỉ dành cho mục đích thông tin. Hiệu suất trong quá khứ không phải là chỉ báo cho kết quả trong tương lai.