Вредоносная версия bee-js в npm похищала ключи криптокошельков ещё до запуска приложения

Специалисты по безопасности цепочки поставок ПО обнаружили вредоносную версию JavaScript-библиотеки @ethersphere/bee-js — официального клиента децентрализованного хранилища Swarm. С 9 ноября версия 13.3.0 классифицируется как вредоносная: при установке она незаметно запускала код, нацеленный на кражу ключей криптовалютных кошельков, причём вредонос срабатывал ещё до того, как разработчик начинал использовать библиотеку в своём приложении.

Как заражённый пакет попал в официальный репозиторий

Самое тревожное в этой истории — способ публикации. Вредоносный релиз прошёл через штатный процесс выпуска проекта: под учётной записью bee-worker в официальный репозиторий внесли прямой коммит, после чего создали релиз, запустивший существующий workflow GitHub Actions. По данным сервиса Socket, метаданные сборки в npm указывали на официальный репозиторий и легитимный конвейер публикации — к моменту релиза вредоносный код уже находился в исходниках.

Злоумышленники изменили пакет так, чтобы вредоносный скрипт запускался автоматически при установке. Если в проекте разрешено выполнение install-скриптов, вредонос стартовал раньше, чем библиотека вообще была использована по назначению.

Что делал вредонос

В комментариях к коду обращение к командному серверу маскировалось под «отправку аналитики». На деле скрипт получал оттуда JavaScript и сразу запускал его с правами пользователя, устанавливающего пакет. Полезная нагрузка:

• искала в данных приложения Swarm Desktop зашифрованный ключ кошелька и файл конфигурации;
• если в конфигурации хранился пароль от ключа, кража двух файлов давала злоумышленнику полный контроль над кошельком;
• на Linux и macOS дополнительно устанавливался бэкдор для удалённого выполнения команд.

По данным SafeDep, адрес командного сервера вредонос читал из смарт-контракта Ethereum — оператор мог сменить его одной транзакцией, не выпуская новую сборку. Важный нюанс: заражённая версия могла прийти и транзитивно, поскольку диапазоны зависимостей ряда инструментов Swarm допускали версию 13.3.0. Одной проверки прямых зависимостей в манифесте недостаточно — нужно смотреть фактически разрешённую версию в lock-файле.