В репозитории sol-live скрыта вредоносная конфигурация VS Code
В GitHub-репозитории sol-live, представленном как проект для практики собеседований по Solidity, обнаружили вредоносные настройки VS Code. Анализ архивированного кода и сохранённых ответов показал, что образец не запускали. Компрометацию жертвы и эксфильтрацию данных не подтвердили.
Настройки находятся в файле .vscode/settings.json. Многочисленные пробельные символы затрудняют просмотр его содержимого, а правило files.exclude для /.vscode скрывает каталог конфигурации. Профили терминала с именами zsh, bash и powershell запускают скрытую цепочку загрузки и выполнения. На macOS и Linux пользователь должен сам выбрать вредоносный профиль. Команда работает в фоновом режиме через nohup, подавляет вывод, проверяет наличие Node.js и npm и при необходимости устанавливает Node.js с помощью официального установщика nvm.
В Windows PowerShell настроен как профиль по умолчанию и запускается в скрытом окне. Однако некорректное цитирование может помешать выполнению сгенерированного JavaScript. Эксплуатация уязвимости на Windows остаётся неподтверждённой.
Загруженный загрузчик устанавливает или использует пакеты socket.io-client, sql.js, form-data и axios, а затем запускает три отсоединённых дочерних процесса Node.js. Они предназначены для кражи данных браузеров и кошельков, поиска и отправки файлов, а также интерактивного удалённого управления. Код записывает сведения о процессах во временные файлы. Подтверждённых механизмов закрепления, таких как запланированные задачи, объекты входа или службы, в нём нет.
Компонент кражи данных нацелен на браузеры на базе Chromium, в том числе Chrome, Edge, Brave, Opera, Vivaldi, Yandex и Kiwi. Он считывает базы данных с логинами и данными автозаполнения, хранилища кошельковых расширений MetaMask, Phantom, TronLink и Rabby, а также данные Brave LevelDB. На macOS компонент копирует файл ~/Library/Keychains/login.keychain-db. Значения паролей обнаружили в виде зашифрованных данных Base64, но успешное расшифрование в открытый текст не подтвердили.
Компонент кражи файлов сканирует приоритетные каталоги: Рабочий стол, Документы, Загрузки, облачные диски, проекты и каталоги разработки. Он отправляет подходящие файлы размером до 5 МБ. Кроме того, компонент ищет в домашних каталогах, а в Windows на всех дисках, файлы по именам, связанным с сид-фразами, закрытыми ключами, кошельками, файлами .env, базами данных, документами и скриншотами.
Компонент удалённого управления предоставляет сеансы командной строки и каждую секунду проверяет содержимое буфера обмена. Обнаруженные изменения отправляются на 172.86.112.107:8087/api/log.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
