Два пакета, colortoolsv2 и mimelib2, опубликованные в июле, работали как простые загрузчики. Вместо прямых вредоносных ссылок они запрашивали адреса управляющих серверов из смарт-контрактов.
После установки пакеты обращались к блокчейну, чтобы получить URL-адрес для загрузки вредоноса второго этапа. Это усложняет обнаружение, поскольку трафик блокчейна выглядит легитимным.
По словам исследователя ReversingLabs Люсии Валентич, новым является именно использование смарт-контрактов для размещения URL-адресов. Ранее такие методы не встречались.
Атака стала частью более крупной кампании с использованием социальной инженерии на GitHub. Злоумышленники создавали поддельные репозитории торговых ботов. Они имитировали активную разработку с помощью фейковых коммитов и нескольких учетных записей, чтобы вызвать доверие.
По словам Валентич, новый вектор атаки показывает эволюцию взломов. Злоумышленники комбинируют блокчейн и социальную инженерию для обхода традиционных методов обнаружения.
Подобные атаки нацелены не только на Ethereum. В апреле поддельный репозиторий на GitHub, маскирующийся под торгового бота для Solana, распространял вредоносное ПО для кражи данных кошельков. Хакеры также атаковали Bitcoinlib — библиотеку Python для разработки на биткоине.
Напомним, в августе основатель CertiK и профессор Колумбийского университета Жунхуэй Гу заявил, что криптоиндустрия ведет «бесконечную войну» с хакерами.
Фейковые ончейн-сыщики против жертв криптовзломов, ИИ-журналистка обманула СМИ и другие события кибербезопасности
