OX Security, PolinRider Zararlı Yazılımının Sunucu Adresini Ethereum (ETH) Zincirinde Buldu

Sunucu Adresleri ETH İşlem Verisine Gizlenmiş

Siber güvenlik şirketi OX Security'nin araştırmacıları, komuta ve kontrol sunucularının adreslerini Ethereum ağı üzerindeki işlem verisinin içine gömen bir zararlı yazılım (malware) kampanyasını tespit etti. Bu kurgu, saldırganların bulaşmış yazılıma hiç dokunmadan altyapılarını değiştirebilmesine imkân tanıyor. Bulgular, 4 Kasım'da "The Return of PolinRider: Hijacked npm Packages, Ethereum (ETH) Blockchain to Conceal Malware Infrastructure" başlıklı raporda yayımlandı. Bu hafta piyasada dikkatler Ethereum (ETH) fiyatı üzerindeyken, açıklama ağın bambaşka bir özelliğini ilgilendiriyor: blokzincir defteri herkese açık, kalıcı ve herhangi bir program tarafından okunabilir; bu da onu pratik bir saklanma noktasına dönüştürüyor.

Kampanyanın merkezindeki zararlı yazılım PolinRider olarak anılıyor ve geliştiricilerin hazır bileşenleri indirdiği npm kayıt defteri üzerinden yayılıyor. Bu bileşenler sayısız projeye çekildiği için ele geçirilmiş tek bir paket, zararlı kodu tek bir hedefin çok ötesine taşıyabiliyor. Saldırganlar yeni kötü amaçlı kod yayımlamak yerine, meşru biçimde dolaşımda olan paketleri ele geçirdi ve PolinRider'ı içine gömdü. Etkilenen bir paketi kuran geliştirici, kodu kendi makinesinde çalıştırmış oluyor ve o makine, saldırganın sunacağı her şey için bir basamak noktasına dönüşüyor. Asıl sıra dışı olan, kodun talimatları nerede aradığı. Geleneksel zararlı yazılımlar sunucu adresini doğrudan kodun içine gömer; bu da savunuculara bulunup engellenebilecek sabit bir hedef verir. Sunucu kapatıldığında saldırganın yazılımı yeniden derleyip dağıtması gerekir, yani yavaş ve maliyetli bir adım. PolinRider ise farklı çalışıyor: bulaşmış program, Ethereum'a kaydedilmiş belirli bir işlemi kontrol ediyor, o işlemin veri alanına gizlenmiş sunucu adresini çıkarıyor ve sunucuya bağlanarak ek zararlı kodu indirip çalıştırıyor. Şema için bir akıllı kontrat bile gerekmiyor; sıradan işlem verisi adresi taşımak için yeterli. Tek bir zincir üstü yazma işlemi, normalde yazılımın baştan yazılıp dağıtılmasını gerektirecek adımın yerini alıyor.

OX Security, kampanyada kullanılan tek bir Ethereum (ETH) adresini ve zararlı yazılımın dağıtımında rol oynayan sunuculara ait dört IP adresini tespit ettiğini bildirdi. Bu göstergeler, ağ savunucularına loglarında somut bir şey arayabilecekleri bir başlangıç noktası veriyor. Saldırganların yeni paket üretmek yerine mevcut paketleri tercih etmesi de anlamlı: yerleşik bileşenler güven taşıdığı ve hazır bir kurulum tabanına sahip olduğu için çoğu geliştirici, daha önce gördüğü bir güncellemeyi sorgulamadan kuruyor. Zararlı kod bir kez içeri girdiğinde dayanıklılık mekanizması blokzincire geçiyor. Zincirin kendisi zararlı yazılımı tutmuyor, yalnızca ona işaret ediyor; dolayısıyla blokzinciri şüpheli yükler için tarayan bir ekip kaldırılacak bariz bir şey bulamıyor. Bir güvenlik ekibi dağıtım sunucusundan birini bulup engellese, saldırgan yeni bir Ethereum işlemine güncel sunucu adresini yazıyor ve bulaşmış her makine yeni kaydı okuyup yeniden bağlanıyor. Uç noktada hiçbir şeyin değişmesi gerekmiyor; bu da saldırgan ile savunucu arasındaki alışılmış dengenin tersine dönmesi demek. Rapor, makine sahibi açısından da riski ele alıyor: Kod gerçekten çalıştıysa, OX Security etkilenen bilgisayarda saklanan kripto cüzdanı bilgileriyle giriş bilgilerinin ifşa olup olmadığının araştırılmasını öneriyor; geliştirici makinesinde çalışan kod tipik olarak tam da bu verilerin yakınında duruyor. Şirket doğrulanmış bir hırsızlık bildirmiyor ve ifşayı, çalıştırma tespit edildiği her yerde kontrol edilmesi gereken bir risk olarak konumlandırıyor. Araştırmacıların özetine göre olay, geliştirmede kullanılan sıradan yazılım bileşenlerinin bir saldırı yoluna dönüşebileceğini ve herkese açık blokzincir işlem verisinin zararlı yazılım dağıtımına hizmet edecek biçimde kullanılabileceğini gösteriyor.

Zinciri Saldırgan Altyapısı Olarak Okumak

Teknik, kapatma operasyonlarının hesabını değiştiriyor. Bir sunucuyu kesmek savunucuya saatler kazandırır, zafer kazandırmaz; çünkü saldırgan bir sonraki adresi zincire yazmak için önemsiz bir gas ücreti ödüyor ve Ethereum'a kaydedilen veri doğrulayıcılar tarafından onaylandığı için düzenlenemiyor ya da kaldırılamıyor. Bir kripto karıştırıcı fon akışını gizlerken PolinRider, zincirin şeffaflığını ters yönde kullanıyor: altyapı detaylarını, yalnızca bulaşmış kodun bakacağı yerde açıkça seriyor. Bu durum kalıcı savunma hattını uç noktada bırakıyor. Geliştirme ekiplerinin, makinelerinde hangi paketlerin çalıştığını ve bu paketlerin hangi dış adreslere sorduğunu görebilmesi gerekiyor. OX Security'nin yayımladığı göstergeler, yani tek adres ve dört sunucu IP'si, bu taramanın başlangıç noktası.