SlowMist, Ethereum (ETH) Kullanıcılarını GitHub Üzerinden Gelen Swarm Tedarik Zinciri Saldırısı Karşısında Uyardı

Zararlı Yazılım Resmî Güncelleme Kanalından Geçti

Swarm depolama projesine yönelik bir tedarik zinciri saldırısı (supply chain attack), Ethereum (ETH) kullanıcılarına en çok güvendikleri kanaldan ulaştı: resmî yazılım güncellemesi. blockchain güvenliği alanında çalışan SlowMist, salı günü acil bir uyarı yayımladı. Şirketin tespitine göre saldırganlar GitHub hesaplarını ele geçirerek meşru yayın sürecini kullandı ve zararlı yazılım içeren paketleri resmî sürüm olarak dağıttı. Böylece kurbanlar, zararlı yazılımı sıradan bir Swarm indirmesi sanarak bilgisayarlarına kurdular. Bu yolla iki yazılım ele geçirildi. Etkilenen kod, daha geniş Ethereum ekosistemi içinde merkeziyetsiz bir depolama ağı olan Swarm'a ait ve Windows, macOS ile Linux üzerinde aynı şekilde çalışıyor. Zararlı yazılım bir makineye girdiğinde, saldırganların kontrolündeki altyapıdan JavaScript kodu indirip çalıştırıyor. Bu, bulaşan dosyayı pasif bir kalıntı olmaktan çıkarıp canlı bir enfeksiyona dönüştürüyor. Riskler de somut: zararlı sürümler kripto para cüzdanı bilgilerini ele geçirebilir, özel anahtarları çalabilir ve etkilenen sistemlerde kalıcı arka kapılar açabilir. Uyarı, Ethereum fiyatı yerine ekosistemin araçlarını ilgilendiriyor ve açıklamanın hiçbir yerinde zincir üstündeki fonların boşaltıldığı iddiası yer almıyor. Buna karşılık açıklama, saldırının teslimat yolunu net biçimde ortaya koyuyor: kaynağında bir geliştirici hesabının ele geçirilmesi, zararlı paketin normal sürüm kanallarıyla dağıtılması ve üç işletim sistemindeki kullanıcıların, kurdukları kopyanın temiz olup olmadığını olaydan sonra anlamak zorunda kalması. Swarm, ekosistemin depolama altyapısını üstlendiği için uyarının hedef kitlesi geniş: üç platformdan herhangi birinde etkilenen sürümleri indiren herkes. SlowMist, teslimat yolunu ve temizlik adımlarını X üzerinde paylaştığı ayrıntılı değerlendirmede açıkladı.

Akıllı Kontrat Komuta Sunucusu Görevi Görüyor

Saldırının arkasındaki mekanizma, tek seferlik bir truva atı ötesine geçiyor. SlowMist, X'te yayımladığı uyarıda, saldırganların komuta ve kontrol yapılandırma deposu olarak Ethereum (ETH) ağı üzerinde çalışan bir akıllı kontratı kullandığını açıklıyor. Yani talimat deposu zincir üstünde duruyor. Yapılandırma kontratın içinde barındığı için saldırganlar, zararlı yazılımı yöneten sunucu adreslerini diledikleri zaman değiştirebiliyor; bulaşmış makinelere yeni bir zararlı paket göndermeleri gerekmiyor. Bu yüzden tek bir sunucunun kapatılması kampanyayı durdurmuyor. SlowMist'in bir diğer önemli tespiti şu: aynı kontrat daha önce SleepyDuck ve EtherDuck adlı zararlı yazılım operasyonlarıyla ilişkilendirilmişti. O kampanyalar, Open VSX mağazasında dağıtılan zararlı eklentiler aracılığıyla geliştiricileri hedefliyordu. Bu yeniden kullanım, Swarm olayının tek amaçlı izole bir saldırı değil, kripto para geliştiricilerini ve kullanıcılarını ele geçirmeyi amaçlayan daha geniş bir operasyonun parçası olabileceğini düşündürüyor. SlowMist'ten bağımsız çalışan Socket ve SafeDep gibi güvenlik araştırmacıları da, Swarm cüzdan dosyalarını çalmaya ve bulaşan sistemlere kalıcı uzaktan erişim araçları kurmaya programlanmış zararlı yazılımlar tespit etti. Bulgular, kalıcılık sorusunda uyarıyla örtüşüyor: araçlar makinede kalmak üzere tasarlanmış, bir kez çalışıp silinecek yapıda değil. Temizlik adımları da net. SlowMist, kullanıcılara etkilenen paketi derhâl kaldırmalarını ve temiz olan 13.2.0 sürümüne dönmelerini öneriyor. Swarm Desktop v0.56.2 çalıştıranların ise temiz olan v0.56.3 sürümüne güncellenmesi gerekiyor. Uyarının söylemediği iki ayrıntı da var: ele geçirilmiş paketlerin, biri fark etmeden önce sürüm kanalında ne kadar süre kaldığı ve o pencerede kaç makineye indirildiği. Yayım anında bu rakamlar paylaşılmadı.

Hâlâ Kullanıcının Elinde Olan Tek Nokta

Açıklamada öne çıkan taraf, zararlı yazılımın kendisi değil komuta katmanı. Zararlı yazılımın yapılandırmasını, kontratın çalıştığı katman-1 ağı olan Ethereum (ETH) üzerindeki bir akıllı kontrata sabitlemek, saldırganlara sunucu kapatmalarına dayanmayan bir altyapı rotasyonu sağlıyor. Bu yüzden barındırma sağlayıcılarına yönelik baskı çok şey değiştirmiyor. Saldırı zincirinde hâlâ kesilebilen halka kullanıcının makinesinde duruyor: paketi kaldırmak ve 13.2.0 sürümüne dönmek ya da Swarm Desktop'ı v0.56.3'e yükseltmek, kurulu yükü daha fazla zarar vermeden etkisiz hâle getiriyor. Masaüstü istemciden blockchain düğümüne kadar Ethereum ekosistemi yazılımı çalıştıran herkes için izlenecek yüzey, güncelleme kanalının kendisi. Evinde Ethereum düğümü çalıştırmayı düşünen okuyucular da aynı risk sınıfıyla karşı karşıya. Uyarıda kurban sayısı belirtilmedi ve bugüne dek yayımlanmış bir sayı bulunmuyor.