Предупреждение | Команда безопасности KuCoin обнаружила атаку на цепочку поставок, направленную на пользователей биржи

12 февраля 2025 года команда безопасности KuCoin обнаружила атаку на цепочку поставок, направленную на пользователей крупных централизованных бирж (CEX), через свою собственную платформу безопасности. Команда быстро отреагировала и проанализировала злонамеренные действия, встроенные в пакет зависимостей. На данный момент злонамеренная зависимость была загружена сотни раз. Команда безопасности KuCoin сообщила о злонамеренной зависимости официальной команде NPM и выпускает это предупреждение, чтобы предупредить пользователей о необходимости соблюдения осторожности. 

Пример поведения 

Платформа сканирования безопасности KuCoin обнаружила пакет зависимостей, который выдавался за API SDK KuCoin в официальном репозитории NPM. При установке через npm этот пакет извлекает секретные ключи, хранящиеся на сервере или локальном компьютере пользователя, и отправляет их на вредоносный домен: http://ihlkoqayjlegsltkrlhf1sg6hpfdbmrgy[.]oast[.]fun

Пример анализа

Анализ через песочницу KuCoin выявил, что эта вредоносная зависимость выдавала себя за пакеты зависимостей SDK, связанные как с KuCoin, так и с Kraken, в официальном репозитории NPM.

Эти типы зависимостей используют зашифрованные имена, чтобы обмануть пользователей и заставить их установить поддельные пакеты зависимостей. В процессе установки они внедряют вредоносные команды, которые извлекают файлы секретных ключей из локальной среды или сервера пользователя и отправляют данные на вредоносный домен через DNSlog.

Специфическая точка активации вредоносного поведения следующая: вредоносная команда выполняется на этапе предустановки пакета зависимостей.

Все 10 пакетов зависимостей в репозитории этого вредоносного источника проявляют одинаковое поведение. 

Профиль атакующего 

В ходе расследования были выявлены следующие сведения о регистрации, связанные с атакующим на официальном репозитории NPM: 

Имя пользователя: superhotuser1
Email: tafes30513@shouxs[.]com 

Согласно verifymail.io, домен shouxs[.]com связан с временными электронными сервисами, что указывает на то, что атакующий — опытный хакер, владеющий техниками против слежки.

Описание угрозы 

Атаки на цепочки поставок представляют значительные риски. По мере их развития их влияние расширяется, поскольку многие проекты зависят от множества сторонних пакетов. Как только вредоносный пакет публикуется и получает широкое распространение, его последствия быстро распространяются. Вредоносные зависимости могут украсть конфиденциальную информацию пользователей, такую как переменные среды, ключи API и данные пользователей, что приведет к утечке данных. Они также могут выполнять разрушительные действия, такие как удаление файлов, шифрование данных (шифровальщик), или нарушение работы системы. Более того, злоумышленники могут внедрить бэкдоры в пакет, что позволит им в течение длительного времени управлять затронутыми системами и вести дальнейшие атаки. 

Злонамеренные зависимости, направленные в частности на KuCoin и Kraken, крадут ключи входа пользователей. Если пользователи входят в свои персональные компьютеры или сервера с использованием имен пользователей и паролей, существует значительный риск того, что их серверы могут быть скомпрометированы. 

На момент публикации этого предупреждения командой безопасности KuCoin злонамеренная зависимость была загружена сотни раз. Статистика загрузок следующая: 

kucoin-production, загрузки: 67
kucoin-main, загрузки: 70
kucoin-internal, загрузки: 63
kucoin-test, загрузки: 69
kucoin-dev, загрузки: 66 

kraken-dev, загрузки: 70
kraken-main, загрузки: 65
kraken-production, загрузки: 67
kraken-test, загрузки: 65
kraken-internal, загрузки: 64 

IOC 

С момента, когда злоумышленник загрузил вредоносную зависимость, до момента, когда команда безопасности KuCoin обнаружила её, прошло менее одного дня. Команда безопасности KuCoin уже сообщила об этой проблеме официальной команде NPM, хотя дальнейшее расследование и удаление могут занять некоторое время. В это время KuCoin выпустил это публичное предупреждение, чтобы предупредить пользователей и помочь предотвратить компрометацию.

Отказ от ответственности: Эта страница была переведена для вашего удобства с использованием технологии искусственного интеллекта (на базе GPT). Для получения наиболее точной информации обратитесь к оригинальной английской версии.