Hợp đồng thông minh Ethereum: Đường tấn công lén lút mới cho việc phân phối phần mềm độc hại

Các nhà nghiên cứu an ninh mạng đã xác định một xu hướng đáng lo ngại, nơi các tác nhân đe dọa đang nhúng các lệnh độc hại vào các hợp đồng thông minh trên chuỗi khối Ethereum, tạo ra những thách thức lớn cho các hệ thống giám sát an ninh.

Các chuyên gia an ninh đã xác định rằng những kỹ thuật này cho phép kẻ tấn công ngụy trang các hoạt động của họ trong các giao dịch chuỗi khối có vẻ hợp pháp, làm phức tạp đáng kể các nỗ lực phát hiện của các giải pháp an ninh truyền thống.

Các vector tấn công dựa trên chuỗi khối tiên tiến xuất hiện

Công ty tuân thủ tài sản kỹ thuật số ReversingLabs đã phát hiện hai gói độc hại được công bố trên kho Node Package Manager (NPM) vào tháng Bảy, lợi dụng kỹ thuật tinh vi này.

Các gói—được đặt tên là "colortoolsv2" và "mimelib2"—ban đầu có vẻ vô hại nhưng chứa mã mã hóa được thiết kế để trích xuất lệnh từ các hợp đồng thông minh Ethereum. Thay vì nhúng trực tiếp các URL tải xuống độc hại, các gói này hoạt động như các trình tải xuống giai đoạn đầu tiên, thu thập địa chỉ máy chủ chỉ huy và kiểm soát từ các giao dịch chuỗi khối trước khi triển khai phần mềm độc hại thứ cấp.

"Điều đáng chú ý đặc biệt về cuộc tấn công này là việc lưu trữ chiến lược các URL lệnh độc hại trong các hợp đồng thông minh Ethereum," Lucija Valentić, nhà nghiên cứu an ninh tại ReversingLabs, giải thích. "Điều này đại diện cho một sự tiến hóa kỹ thuật mà chúng ta chưa từng quan sát thấy trong thực tế," cô ấy nói thêm, nhấn mạnh sự thích nghi nhanh chóng của các tác nhân đe dọa để tránh các cơ chế phát hiện an ninh.

Kỹ Thuật Kỹ Lưỡng Trong Kỹ Thuật Xã Hội Qua Ứng Dụng Giao Dịch Giả

Các gói được phát hiện chỉ đại diện cho một thành phần của một chiến dịch lừa đảo rộng lớn hơn, chủ yếu được tổ chức thông qua các kho lưu trữ GitHub. Các tác nhân đe dọa đã xây dựng các kho lưu trữ bot giao dịch tiền điện tử tinh vi với sự chú ý tỉ mỉ đến tính xác thực—bao gồm cả lịch sử cam kết giả mạo, nhiều hồ sơ người duy trì gian lận, và tài liệu toàn diện được thiết kế để thiết lập uy tín với các nạn nhân tiềm năng.

Các kho lưu trữ này đã được thiết kế cẩn thận để trông hợp pháp và đáng tin cậy, che giấu mục đích thực sự của việc phân phối phần mềm độc hại thông qua các chiến thuật kỹ thuật xã hội tinh vi.

Việc giám sát an ninh đã ghi nhận 23 chiến dịch độc hại tập trung vào tiền điện tử khác nhau nhằm vào các kho mã nguồn mở chỉ trong năm 2024. Các chuyên gia an ninh cho biết phương pháp mới này—kết hợp việc thực hiện lệnh dựa trên chuỗi khối với kỹ thuật xã hội tiên tiến—tăng đáng kể độ phức tạp của các hoạt động bảo mật phòng thủ.

Bối cảnh lịch sử của các cuộc tấn công nhắm vào tiền điện tử

Việc khai thác cơ sở hạ tầng Ethereum không phải là điều chưa từng thấy trong bối cảnh mối đe dọa. Đầu năm nay, các nhà nghiên cứu an ninh đã liên kết nhóm Lazarus có liên quan đến Bắc Triều Tiên với các hoạt động phần mềm độc hại cũng sử dụng các tương tác hợp đồng Ethereum, mặc dù với các chi tiết triển khai kỹ thuật khác nhau.

Vào tháng Tư, tội phạm mạng đã phân phối một kho lưu trữ GitHub giả mạo dưới dạng ứng dụng bot giao dịch Solana, sử dụng phương thức này để phát tán phần mềm độc hại được thiết kế để lấy cắp thông tin xác thực ví tiền điện tử.

Một sự cố đáng chú ý khác liên quan đến gói Python "Bitcoinlib", một thư viện phát triển cho các ứng dụng Bitcoin, mà các tác nhân đe dọa đã nhắm đến cho các hoạt động đánh cắp thông tin đăng nhập tương tự.

Trong khi các triển khai kỹ thuật cụ thể tiếp tục phát triển, mô hình là không thể nhầm lẫn: các công cụ phát triển tiền điện tử và các kho mã nguồn mở ngày càng trở thành mục tiêu hàng đầu cho các chiến dịch tấn công tinh vi. Việc tích hợp các tính năng chuỗi khối như hợp đồng thông minh như hạ tầng lệnh đang làm phức tạp đáng kể các nỗ lực phát hiện và giảm thiểu.

Như Valentić đã quan sát, các tác nhân đe dọa liên tục khám phá các phương pháp đổi mới để vượt qua các biện pháp bảo mật. Việc triển khai chiến lược hạ tầng lệnh độc hại trên các hợp đồng thông minh Ethereum cho thấy sự tinh vi về kỹ thuật mà các kẻ tấn công hiện đại sử dụng để duy trì lợi thế hoạt động so với các hệ thống phòng thủ an ninh.