Amaran | Pasukan Keselamatan KuCoin Menangkap Serangan Rantaian Bekalan yang Menargetkan Pengguna Penukaran

Pada 12 Februari 2025, pasukan keselamatan KuCoin mengesan satu serangan rantaian bekalan yang menargetkan pengguna-pengguna utama pertukaran terpusat (CEX) melalui platform pemindaian keselamatan yang dikembangkan sendiri. Pasukan tersebut segera merangkak dan menganalisis tingkah laku jahat yang tertanam dalam pakej bergantung. Sehingga kini, pakej bergantung jahat itu telah dimuat turun beratus-ratus kali. Pasukan keselamatan KuCoin telah melaporkan pakej bergantung jahat itu kepada pasukan rasmi NPM dan mengeluarkan amaran ini untuk memperingatkan pengguna agar tetap waspada. 

Sampel Perilaku 

Platform pemindaian keselamatan KuCoin mengesan pakej kebergantungan yang disamaratakan sebagai KuCoin API SDK di repositori rasmi NPM. Apabila dipasang melalui npm, pakej ini akan memperoleh kunci rahsia yang disimpan pada pelayan atau komputer tempatan pengguna dan menghantarkannya ke domain jahat: http://ihlkoqayjlegsltkrlhf1sg6hpfdbmrgy[.]oast[.]fun

Analisis Contoh

Analisis melalui platform pemindaian sandbox KuCoin telah menemui bahawa kebergantungan jahat ini memburukkan diri sebagai pakej kebergantungan SDK yang berkaitan dengan KuCoin dan Kraken di repositori rasmi NPM.

Jenis ketergantungan ini menggunakan nama yang disamarkan untuk menipu pengguna memasang pakej ketergantungan palsu. Semasa proses pemasangan, mereka menyisipkan arahan jahat yang mengekstrak fail kunci rahsia daripada persekitaran tempatan pengguna atau pelayan dan menghantar data tersebut ke domain jahat melalui DNSlog.

Titik pencetus khusus bagi tingkah laku jahat adalah seperti berikut: arahan jahat dijalankan semasa fasa pra-pasangan pakej bergantung.

Semua 10 pakej bergantung dalam repositori sumber jahat ini menunjukkan kelakuan yang sama. 

Profil Pengganas 

Siasatan telah menemui butiran pendaftaran berikut yang berkaitan dengan penggodam di repositori rasmi NPM: 

Nama Pengguna: superhotuser1
E-mel: tafes30513@shouxs[.]com 

Menurut verifymail.io, domain shouxs[.]com dikaitkan dengan perkhidmatan emel sementara, menunjukkan penyerang adalah seorang penggodam yang mahir dalam teknik anti-pengesanan.

Penerangan Ancaman 

Serangan rantai bekalan membawa risiko yang besar. Apabila mereka berkembang, kesan mereka berkembang juga, memandangkan banyak projek bergantung kepada banyak pakej pihak ketiga. Sekiranya satu pakej jahat diterbitkan dan digunakan secara meluas, kesannya merebak dengan cepat. Pakej bergantung yang jahat boleh mencuri maklumat pengguna yang sensitif, seperti pemboleh ubah persekitaran, kunci API, dan data pengguna, menyebabkan kebocoran data. Mereka juga boleh melaksanakan tindakan merosakkan seperti penghapusan fail, penghimpunan data (ransomware), atau gangguan sistem. Selain itu, penyerang mungkin memasukkan pintu belakang ke dalam pakej, membolehkan kawalan jangka panjang ke atas sistem yang terjejas dan membolehkan serangan lanjut. 

Pengenalan yang jahat yang sasaran kepada KuCoin dan Kraken khususnya mencuri kunci log masuk pengguna. Jika pengguna log masuk ke komputer peribadi atau pelayan mereka menggunakan nama pengguna dan kata laluan, terdapat risiko yang ketara bahawa pelayan mereka boleh dirompak. 

Pada masa kumpulan keselamatan KuCoin mengeluarkan amaran ini, kebergantungan jahat tersebut telah dimuat turun beratus-ratus kali. Statistik muat turun adalah seperti berikut: 

kucoin-produksi, muat turun: 67
kucoin-main, muat turun: 70
kucoin-internal, muat turun: 63
kucoin-test, muat turun: 69
kucoin-dev, muat turun: 66 

kraken-dev, muat turun: 70
kraken-main, muat turun: 65
kraken-produksi, muat turun: 67
kraken-test, muat turun: 65
kraken-internal, muat turun: 64 

IOC 

Dari masa penyerang memuat naik kebergantungan jahat ke saat pasukan keselamatan KuCoin mengesan ia, kurang daripada satu hari telah berlalu. Pasukan keselamatan KuCoin telah melaporkan isu ini kepada pasukan rasmi NPM, walaupun siasatan lanjut dan penghapusan mungkin mengambil masa. Sementara itu, KuCoin telah mengeluarkan amaran awam ini untuk memeringatkan pengguna dan membantu mencegah kompromi.

Penafian: Halaman ini telah diterjemahkan dengan menggunakan teknologi AI (dikuasakan oleh GPT) untuk keselesaan anda. Untuk mendapatkan maklumat yang paling tepat, rujuk kepada versi bahasa Inggeris asal.