Złośliwe bee-js 13.3.0 i Swarm Desktop 0.56.2 kradły klucze portfela węzła Swarm

Atakujący wykorzystali automatyzację wydań projektu Ethersphere i opublikowali złośliwe bee-js 13.3.0 oraz Swarm Desktop 0.56.2. Oba wydania wycofano, a opiekunowie projektu udostępnili czystą aktualizację Swarm Desktop. Złośliwy kod kradnie klucz portfela węzła Swarm razem z zapisanym hasłem, które go odblokowuje. Instaluje też tylną furtkę w systemach Windows, macOS i Linux. Według analizy firmy Socket bee-js 13.3.0 pobrano około 10 razy, a Swarm Desktop 0.56.2 65 razy. Obie liczby obejmują pobrania przez skanery i badaczy. Do chwili publikacji nikt nie zgłosił kradzieży środków.

Kogo dotyczy

Pakiet bee-js 13.3.0 był najnowszą wersją w npm przez około 75 minut, od 00:09 do 01:25 UTC. Uruchamiał się jako skrypt postinstall, czyli automatycznie przy instalacji, chyba że skrypty instalacyjne są wyłączone. Zakresy wersji w swarm-cli i bee-dashboard obejmowały 13.3.0. Swarm Desktop 0.56.2 był dostępny przez około 8,5 godziny. Wbudowany aktualizator mógł go zaproponować komputerom z Windows x64 i Macom z Apple Silicon. Macom z procesorami Intel go nie oferował, a instalacje na Linuksie nie aktualizują się automatycznie.

Co zrobić

Zainstaluj czystą aktualizację Swarm Desktop. Według materiału ani wycofanie wydań, ani aktualizacja nie usuwają tylnej furtki, która już została zainstalowana, i nie chronią klucza, który już wysłano.