Tấn công JavaScript NPM quy mô lớn lan truyền phần mềm độc hại tự nhân bản khắp hệ sinh thái tiền điện tử

Một cuộc tấn công chuỗi cung ứng JavaScript phổ biến đã xâm nhập vào hơn 400 gói phần mềm trên nhiều ngành công nghiệp, với các nhà nghiên cứu an ninh mạng cảnh báo về mức độ phơi nhiễm sâu trong hạ tầng liên quan đến tiền điện tử. Các phát hiện của Aikido Security tiết lộ một mô hình đáng lo ngại: tác nhân đe dọa đã triển khai Shai Hulud, một phần mềm độc hại tự nhân bản tinh vi được thiết kế để tự động lây lan qua môi trường phát triển và trích xuất thông tin đăng nhập nhạy cảm.

Phạm vi tấn công và cơ chế kỹ thuật

Phần mềm độc hại hoạt động khác biệt so với các vụ việc chuỗi cung ứng NPM trước đây. Thay vì nhắm vào tài sản kỹ thuật số trực tiếp, phần mềm độc hại tự nhân bản này hoạt động như một công cụ thu thập thông tin đăng nhập, hệ thống lấy cắp khóa ví, token API và bí mật xác thực từ các hệ thống phát triển bị nhiễm. Mỗi phát hiện đều được xác nhận để loại bỏ các kết quả dương tính giả, theo tiết lộ của nhà nghiên cứu Charlie Eriksen trên mạng xã hội.

Quy mô vẫn còn đáng báo động. Công ty an ninh mạng Wiz xác định khoảng 25.000 kho lưu trữ bị xâm phạm thuộc về khoảng 350 người dùng khác nhau, với các vụ nhiễm mới xảy ra với tốc độ 1.000 kho mỗi nửa giờ. Việc tự nhân bản này phân biệt rõ ràng mối đe dọa hiện tại với vụ việc vào tháng 9 trước đó, khi các kẻ tấn công đã trích xuất thủ công $50 triệu tiền điện tử trước khi chuyển sang mục tiêu khác.

Hạ tầng tiền điện tử đang bị tấn công

Ít nhất mười gói phần mềm phục vụ ngành công nghiệp blockchain đã trở thành nạn nhân, chủ yếu liên quan đến hạ tầng Ethereum Name Service (ENS). Hệ sinh thái bị ảnh hưởng bao gồm các thư viện phân phối rộng rãi như:

• content-hash: khoảng 36.000 lượt tải hàng tuần
• address-encoder: vượt quá 37.500 lượt tải hàng tuần
• ensjs, ens-validation, ethereum-ens, ens-contracts: tất cả đều bị xâm phạm

Ngoài các công cụ đặc thù của ENS, cuộc tấn công còn mở rộng đến crypto-addr-codec, một tiện ích mã hóa độc lập có gần 35.000 lượt tải mỗi tuần. Các gói này đóng vai trò là các phụ thuộc nền tảng cho hàng trăm dự án downstream, làm tăng nguy cơ phơi nhiễm trong cộng đồng phát triển.

Đánh giá tác động rộng hơn

Cuộc xâm phạm vượt ra ngoài các ứng dụng tiền điện tử. Các nạn nhân đáng chú ý bao gồm các nền tảng tự động hóa doanh nghiệp như Zapier, với một số gói bị ảnh hưởng nhận hơn 40.000 lượt tải hàng tuần. Một số thư viện bị xâm phạm báo cáo tới 1,5 triệu lượt tải mỗi tuần, cho thấy khả năng phơi nhiễm ảnh hưởng đến hàng nghìn ứng dụng cuối cùng.

Eriksen mô tả phạm vi của vụ việc là “rất lớn”, với các nỗ lực điều tra vẫn đang tiếp tục để xác định đầy đủ các tham số tác động. Khuyến nghị ngay lập tức từ các nhà nghiên cứu an ninh là tiến hành kiểm tra toàn diện bất kỳ môi trường phát triển nào sử dụng hạ tầng npm, kết hợp với việc thay đổi thông tin đăng nhập khẩn cấp và thực hiện các biện pháp khắc phục chuỗi cung ứng.