La empresa de seguridad en blockchain SlowMist emitió una alerta de seguridad urgente para los usuarios del ecosistema de Ethereum. La alerta se basa en un complejo ataque a la cadena de suministro detectado en los software de Ethersphere. SlowMist explicó que los atacantes se apoderaron de dos versiones diferentes de software.
El alcance del ataque se amplió
Según SlowMist, los atacantes se infiltraron en cuentas de GitHub y abusaron de los procesos de publicación de software legítimo para distribuir versiones maliciosas. Se indicó que el riesgo mencionado podría afectar a múltiples sistemas operativos, incluidos Windows, macOS y Linux.
Los software afectados son parte de la red de almacenamiento descentralizado Swarm dentro del ecosistema de Ethereum. Swarm es conocido como una infraestructura desarrollada para el almacenamiento de datos y la distribución de contenido. Por lo tanto, el incidente no se limita a una sola aplicación y afecta a un conjunto más amplio de usuarios y desarrolladores.
SlowMist explicó que los atacantes utilizaron procesos legítimos de publicación para distribuir software malicioso apoderándose de cuentas de GitHub.
El software malicioso apunta a la información de las billeteras
Los expertos en seguridad advirtieron que estas versiones maliciosas podrían captar credenciales de billeteras de criptomonedas, robar claves privadas y crear puertas traseras persistentes en los sistemas afectados. Esto indica que el ataque va más allá de un simple caso de malware.
SlowMist relató que el software malicioso descarga y ejecuta código JavaScript malicioso. Además, se indicó que los atacantes utilizaron un contrato inteligente de Ethereum como depósito de configuración de comando y control descentralizado para actualizar las direcciones del servidor que gestionan el malware sin redistribuirlo.
Mini diccionario: Comando y control o C2 es la infraestructura utilizada por los atacantes para gestionar de manera remota los sistemas infectados con malware. Almacenar configuraciones a través de un contrato inteligente puede hacer más difícil cerrar esta infraestructura y permite cambiar dinámicamente las direcciones.
Se investiga la conexión con ataques anteriores
Se indicó que el mismo contrato inteligente de Ethereum estuvo relacionado anteriormente con los ataques de malware conocidos como SleepyDuck y EtherDuck. Estas campañas habían tenido como objetivo a desarrolladores a través de complementos maliciosos en el mercado Open VSX. Se está evaluando que el nuevo incidente podría ser parte de una operación más amplia dirigida a desarrolladores y usuarios de criptomonedas.
Investigadores de seguridad independientes Socket y SafeDep también detectaron componentes maliciosos que buscan robar archivos de billetera Swarm e instalar herramientas de acceso remoto persistentes. Estos hallazgos muestran que el ataque no es solo un riesgo teórico, sino que busca activamente el robo de datos y la toma de sistemas.
SlowMist recomendó retirar inmediatamente el paquete afectado y regresar a la versión limpia 13.2.0.
Se hizo un llamado a los usuarios para que actualicen
SlowMist recomendó que los usuarios eliminen de inmediato el paquete afectado y regresen a la versión limpia 13.2.0. A aquellos que utilizan Swarm Desktop v0.56.2 se les hizo un llamado a actualizar a la versión v0.56.3, considerada limpia.
La alerta resaltó nuevamente la importancia de la verificación de versiones confiables, especialmente para desarrolladores que descargan software en el ecosistema Ethereum y personas que usan billeteras. Mientras se examinan los detalles técnicos del incidente, se indica que es necesario realizar una revisión exhaustiva de seguridad en los sistemas afectados.
