Cảnh báo SlowMist: Dự án GitHub ngụy trang thành bài kiểm tra phỏng vấn Solidity ẩn chứa backdoor, có thể đánh cắp dữ liệu ví và thực thi lệnh từ xa
Odaily đưa tin, SlowMist đã phát đi cảnh báo an ninh, cho biết gần đây nhận được báo cáo từ người dùng về một kho lưu trữ GitHub có tên sol-live, ngụy trang thành dự án luyện tập phỏng vấn Solidity, ẩn chứa mã độc. Qua phân tích, tệp .vscode/settings.json của dự án chứa lệnh tải xuống và thực thi script từ xa, có thể kích hoạt hành vi độc hại khi người dùng khởi động terminal tùy chỉnh được cấu hình trong dự án.
Payload độc hại này bao gồm ba mô-đun chính, có khả năng thu thập cơ sở dữ liệu đăng nhập trình duyệt và dữ liệu lưu trữ của tiện ích mở rộng ví, sao chép tệp keychain của macOS, quét và tải lên các tệp cục bộ, đồng thời có thể thực thi lệnh từ xa, cung cấp quyền truy cập Shell tương tác và giám sát nội dung clipboard. SlowMist cho biết, trên hệ thống macOS và Linux, cuộc tấn công yêu cầu người dùng chủ động khởi động cấu hình terminal độc hại; chuỗi tấn công trên hệ thống Windows vẫn chưa được xác nhận. Ngoài ra, SlowMist còn phát hiện thêm 8 dự án GitHub khác sử dụng thủ pháp tải xuống và thực thi qua terminal tương tự. Hiện vẫn chưa thể xác nhận phạm vi lây nhiễm thực tế và liệu đã có dữ liệu bị đánh cắp hay chưa. SlowMist khuyến nghị người dùng kiểm tra cấu hình terminal liên quan trước khi sử dụng các dự án không đáng tin cậy; nếu không thể loại trừ khả năng thiết bị đã bị ảnh hưởng, nên cách ly và kiểm tra thiết bị, đồng thời di chuyển tài sản ví và luân chuyển thông tin xác thực liên quan thông qua thiết bị đáng tin cậy.
