攻击者对Arweave的WeaveDB npm包进行了特洛伊木马化处理以部署恶意软件

攻击者在与Arweave生态系统相关的36个npm包中植入了信息窃取程序。它针对开发人员凭证、SSH密钥和Exodus加密钱包文件。安全公司JFrog将攻击追溯到一个受 compromised 的维护者账户。

这种恶意软件名为IronWorm，由Rust构建。它在开发人员安装npm包的那一刻激活。一旦运行，它会扫描受感染的计算机，查找86个环境变量和20个凭证文件，正如JFrog的研究团队所发现的那样。它针对AWS令牌、Anthropic和OpenAI API密钥、npm身份验证凭证以及加密钱包数据。

Arweave项目包携带隐藏的Rust恶意软件

攻击者 compromised 了一个名为“asteroiddao”的npm账户，该账户属于asteroid-dao GitHub组，是Arweave/WeaveDB去中心化数据库项目的一部分。

与“asteroiddao”账户相关的所有包都在短时间内重新发布，每个新版本都包含一个位于tools/目录中的976 KB Linux文件。

该文件被设置为通过一个 preinstall 钩子自动运行 package.json，这意味着在npm甚至开始安装任何东西之前它就会启动。受害者只需运行 npm install.

JFrog的团队对该文件进行了拆解，发现它以旨在欺骗标准解包工具的方式进行了打包。内部是一个大型Rust程序，其字符串单独加密，每个字符串单独锁定，使得分析更加困难。

当这些字符串最终被解码时，它们揭示了GitHub API端点、凭证文件路径、链接到真实GitHub用户ID的虚假机器人账户，以及向其他包注册表注入恶意代码的模板。

被盗的GitHub令牌允许恶意软件推送提交并感染更多仓库

在收集凭证后，IronWorm使用它们向受害者可以访问的仓库推送提交。这些提交将相同的恶意二进制文件植入其他包中，然后可以发布到npm并感染链条中的下一个开发人员。

JFrog发现57 across nine GitHub 组织中存在恶意提交。这些提交使用了作者名“claude”和电子邮件 [email protected]。时间戳被伪造以匹配每个存储库最近的有效提交。其中一个似乎可以追溯到13年前，尽管GitHub Actions日志确认所有推送都是在发现后几天内发生的。

受影响的组织包括asteroid-dao、weavedb、ArweaveOasis以及与开发人员“ocrybit”相关的几个个人账户。

IronWorm还部署了一个eBPF内核rootkit以隐藏在受感染的机器上。与操作员的通信通过Tor网络路由。Rust编译器将rootkit的源代码留在二进制文件中，这是一个操作失误，使得分析更容易。

一个奇怪的现象是，操作员将他们自己的加密货币钱包恢复短语硬编码到恶意软件中。JFrog得出结论，这是为了防止窃取程序在测试期间泄露攻击者自己的凭证而采取的安全措施。

恶意软件攻击持续冲击npm

应用安全公司Ox Security 表示，该攻击在早期就被发现，未能传播到npm上的更多包。

恶意版本在一天内被标记为已弃用，大多数回溯提交在不久后从GitHub上移除。

5月14日，黑客利用了一个处于非活跃状态的node-ipc维护者账户，该包每周下载量超过822,000次。攻击者通过重新注册维护者过期的电子邮件域名并重置npm密码来完成利用。三个受感染的变体包含针对90多种类别开发人员秘密的凭证窃取有效载荷。

安全公司Endor Labs和StepSecurity确定了一个并发但不同的攻击，使用名为binding.gyp的基于JavaScript的恶意软件，在同一时间段内执行类似的注册表投毒和GitHub Actions感染。

安装了任何受影响的WeaveDB包的开发人员应轮换所有凭证，检查锁定文件是否有意外版本更改，并在npm和GitHub账户上启用双重身份验证。