Компромисот на складиштето Ledger NPM доведе до вметнување на малициозни промени

Компанијата Леџер, која произведува хардверски крипто паричници со истото име, откри информации за компромисот на нејзиното складиште NPM, што доведе до воведување на злонамерен код во библиотеката Ledger Connect Kit JavaScript, што се користи за обезбедување пристап до децентрализирани веб-апликации до крипто паричници. Напаѓачите успеаја да објават фиктивни верзии на Connect Kit, во кои беше вграден код кој ги заменува лажните трансакции за пренос на средства од крипто-паричникот на жртвата.

Злонамерниот код беше дистрибуиран во верзии на Connect Kit 1.1.5, 1.1.6 и 1.1.7 и беше отстранет во легитимното ажурирање 1.1.8. Пристапот до складиштето на NPM го добија напаѓачите за време на напад на фишинг, како резултат на што тие беа во можност да ги одредат параметрите на сметката на еден од поранешните вработени во Леџер. Причините наведени за успехот на нападот ја вклучуваат можноста за објавување изданија без проверка на двофакторна автентикација, оставање права за пристап на отпуштен вработен и користење мрежа за испорака на содржина која не дозволува заклучување во одредена проверена верзија на библиотеката (апликациите секогаш ја користев најновата верзија).

Пред да се открие компромисот и да се отстрани злонамерниот код, лажното издание на библиотеката беше достапно за преземање 5 часа, но според Леџер, вистинското време на нападот за повлекување било ограничено на интервал од два часа. За да ги пренасочи средствата во паричникот на жртвата, нападот вклучуваше лажен проект во услугата WalletConnect, која моментално е блокирана. Според независниот истражувач ZachXBT, за време на нападот напаѓачите успеале да украдат најмалку 610 илјади долари од крипто паричниците на жртвите. Според услугата Revoke.cash, загубите на корисниците на различни сајтови кои користеле Connect Kit изнесуваат повеќе од 850 илјади долари.

Проблемот влијаеше само на корисниците на децентрализирани веб-апликации од трети страни (DApps) што ја користат библиотеката Ledger Connect Kit и не влијаеше на интегритетот на хардверските паричници на Ledger или на апликацијата Ledger Live. За да се намали веројатноста за такви напади преку компромитирачки програмери, сметките на учесниците во проектот Connect Kit во NPM беа префрлени на режим само за читање и беше забрането директно објавување на пакет NPM од страна на развивачите на хотели. Ажурирани се и сите клучеви за објавување во складиштето на GitHub.

Извор: opennet.ru