Попередження | Команда безпеки KuCoin виявила атаку на ланцюг поставок, спрямовану на користувачів біржі

12 лютого 2025 року технічна безпекова команда KuCoin виявила атаку на ланцюг поставок, спрямовану на користувачів основних централізованих бірж (CEX) через власну розроблену платформу безпекового сканування. Команда швидко відреагувала та проаналізувала зловмисні дії, вбудовані в пакет залежностей. Наразі зловмисна залежність була завантажена сотні разів. Команда безпеки KuCoin повідомила про зловмисну залежність офіційній команді NPM та видає це попередження, щоб попередити користувачів про необхідність бути обережними. 

Приклад поведінки 

Платформа з безпеки KuCoin виявила пакет-залежність, який приховується під SDK API KuCoin у офіційному NPM-репозиторії. При встановленні через npm цей пакет отримує секретні ключі, збережені на сервері або локальному комп'ютері користувача, і відправляє їх на зловмисний домен: http://ihlkoqayjlegsltkrlhf1sg6hpfdbmrgy[.]oast[.]fun

Приклад аналізу

Аналіз через сандрейс-сканувальний платформу KuCoin виявив, що ця зловмисна залежність прикидалася SDK-залежнісними пакетами, пов’язаними як з KuCoin, так і з Kraken, у офіційному репозиторії NPM.

Ці типи залежностей використовують зашифровані назви, щоб залучити користувачів до встановлення підроблених пакетів залежностей. Під час процесу встановлення вони вбудовують зловмисні команди, які витягують файли з секретними ключами з локального середовища або сервера користувача та відправляють ці дані на зловмисний домен через DNSlog.

Спеціфічна точка виклику зловмисної діяльності наступна: зловмисна команда виконується під час підфази попередньої установки пакета залежностей.

Усі 10 пакетів залежностей у репозиторії цього шкідливого джерела демонструють однакове поведінку. 

Профіль атакуючого 

Розслідування виявило такі дані реєстрації, пов’язані з атакувальником у офіційному репозиторії NPM: 

Username: superhotuser1
Email: tafes30513@shouxs[.]com 

За даними verifymail.io, домен shouxs[.]com пов’язаний з тимчасовими електронними адресами, що вказує на те, що атакувальник — досвідчений хакер, який вміє використовувати проти-слідкуючі техніки.

Опис загрози 

Атаки на ланцюг поставок становлять значні ризики. З їх розвитком їхній вплив поширюється, оскільки багато проектів залежать від великої кількості пакетів від третіх осіб. Як тільки зловмисний пакет публікується і широко використовується, його наслідки швидко поширюються. Зловмисні залежності можуть вкрадати чутливу інформацію користувачів, таку як змінні середовища, ключі API та користувацькі дані, що призводить до витоків даних. Вони також можуть виконувати знищувальні дії, такі як видалення файлів, шифрування даних (шпіонське ПЗ), або порушення роботи системи. Крім того, атакувальники можуть вбудовувати в пакет зворотні ворота, що дозволяє довгостроковий контроль над впливаними системами та виконання подальших атак. 

Зловмисні залежності, що націлені саме на KuCoin і Kraken, вкрадають ключі входу користувачів. Якщо користувачі ввійдуть до своїх особистих комп'ютерів або серверів за допомогою імен користувачів і паролів, існує значний ризик того, що їхні сервери можуть бути скомпрометовані. 

На момент видачі цього попередження командою безпеки KuCoin зловмисна залежність була завантажена сотні разів. Статистика завантажень така: 

kucoin-production, завантаження: 67
kucoin-main, завантаження: 70
kucoin-internal, завантаження: 63
kucoin-test, завантаження: 69
kucoin-dev, завантаження: 66 

kraken-dev, завантаження: 70
kraken-main, завантаження: 65
kraken-production, завантаження: 67
kraken-test, завантаження: 65
kraken-internal, завантаження: 64 

IOC 

З моменту, коли зловмисник завантажив шкідливу залежність, до моменту, коли безпекова команда KuCoin виявила її, минув менше одного дня. Команда безпеки KuCoin вже повідомила про цю проблему офіційній команді NPM, хоча подальше розслідування та видалення може зайняти деякий час. Тим часом, KuCoin видала це публічне попередження, щоб попередити користувачів та допомогти запобігти компрометації.

Відмова від відповідальності: Для вашої зручності цю сторінку було перекладено за допомогою технології ШІ (на базі GPT). Для отримання найточнішої інформації дивіться оригінальну англійську версію.