• A SlowMist emitiu um alerta de segurança urgente na terça-feira sobre um ataque à cadeia de suprimentos de softwares do ecossistema Ethereum.

• Invasores sequestraram contas do GitHub e distribuíram malware por meio de processos legítimos de lançamento no Windows, macOS e Linux.

• O malware recupera e executa JavaScript malicioso e pode roubar chaves privadas e credenciais de carteiras.

Malware se infiltra pelo canal oficial de lançamento

Um ataque à cadeia de suprimentos do projeto de armazenamento Swarm alcançou usuários do Ethereum (ETH) pelo canal em que eles são treinados para confiar: a atualização oficial do software. A SlowMist, empresa de segurança em blockchain, emitiu um alerta urgente na terça-feira depois de descobrir que invasores haviam invadido contas do GitHub e usado o processo legítimo de lançamento para publicar versões maliciosas. Assim, as vítimas instalaram o malware como se fosse um download rotineiro do Swarm. Dois programas foram comprometidos dessa forma. O código afetado pertence ao Swarm, uma rede de armazenamento descentralizada que integra o ecossistema mais amplo do Ethereum e funciona em Windows, macOS e Linux. Uma vez instalado em um computador, o malware recupera e executa código JavaScript obtido de uma infraestrutura controlada pelos invasores, transformando um instalador envenenado em uma infecção ativa, em vez de um arquivo inerte. As consequências são concretas: essas versões maliciosas podem comprometer as credenciais de carteiras de criptomoedas, roubar chaves privadas e abrir portas dos fundos permanentes nos sistemas afetados. O alerta diz respeito às ferramentas do Ethereum, não ao preço da criptomoeda, e não afirma que fundos na blockchain já tenham sido drenados. O que a divulgação confirma é o caminho da distribuição: uma conta de desenvolvedor comprometida na origem, uma versão maliciosa publicada pelos canais de lançamento habituais e usuários dos três sistemas operacionais tendo de descobrir, depois do ocorrido, se a cópia instalada estava limpa. O Swarm funciona como infraestrutura de armazenamento para o ecossistema, portanto o alerta abrange um público amplo: qualquer pessoa que tenha baixado as versões afetadas em uma das três plataformas. A SlowMist publicou a análise completa no X, detalhando tanto o caminho da distribuição quanto as etapas para remover a ameaça.

Contrato inteligente atua como servidor de comandos

O mecanismo por trás do ataque vai além de um trojan usado uma única vez. Em seu alerta publicado no X, a SlowMist explica que os operadores usam um contrato inteligente do Ethereum como repositório descentralizado de configuração de comando e controle, um armazenamento de instruções que fica na blockchain. Como a configuração está no contrato, os invasores podem trocar os endereços dos servidores que gerenciam o malware sempre que necessário, sem distribuir uma nova versão maliciosa para as máquinas já infectadas; portanto, derrubar qualquer servidor individual não interrompe a campanha. A SlowMist acrescenta que o mesmo contrato já havia sido associado às operações de malware SleepyDuck e EtherDuck, campanhas que visaram desenvolvedores por meio de extensões maliciosas distribuídas no marketplace Open VSX. Essa reutilização indica que o incidente envolvendo o Swarm pode ser parte de uma operação mais ampla para comprometer desenvolvedores e usuários de criptomoedas, em vez de um evento isolado com um único objetivo. Pesquisadores de segurança independentes da Socket e da SafeDep, trabalhando separadamente da SlowMist, encontraram malware criado para roubar arquivos de carteiras do Swarm e instalar ferramentas persistentes de acesso remoto nos sistemas infectados. As descobertas deles são compatíveis com o alerta quanto à persistência: as ferramentas foram projetadas para permanecer na máquina, não para serem executadas uma vez e desaparecerem. As medidas de correção são específicas. A SlowMist aconselha os usuários a desinstalar imediatamente o pacote afetado e reverter para a versão limpa 13.2.0, enquanto quem estiver usando o Swarm Desktop v0.56.2 deve atualizar para a versão limpa v0.56.3. O alerta não informa por quanto tempo as versões comprometidas permaneceram no canal de lançamento antes de alguém sinalizar o problema, nem quantas máquinas as baixaram nesse período; esses números não haviam sido divulgados até a publicação.

O único ponto que ainda está nas mãos dos usuários

O que se destaca na divulgação é a camada de comando, não a carga maliciosa. Armazenar a configuração do malware em um contrato inteligente na Ethereum — a rede de camada 1 na qual o contrato é executado — dá aos operadores uma infraestrutura que pode ser alternada e sobrevive à derrubada de servidores, tornando pouco eficaz a pressão sobre provedores de hospedagem. O ponto da sequência que ainda pode ser interrompido está na máquina do usuário: desinstalar o pacote e reverter para a versão 13.2.0, ou atualizar o Swarm Desktop para a v0.56.3, impede que a carga instalada cause mais danos. Para quem usa software do ecossistema Ethereum, de um cliente de desktop a um nó de blockchain, o próprio canal de atualização é a superfície a ser monitorada. Leitores que avaliam a possibilidade de executar um nó Ethereum em casa enfrentam a mesma categoria de risco. O alerta não informa o número de vítimas, e nenhum número foi divulgado.