Шкідливий AI-скрипт краде криптовалюту з гаманців користувачів через NPM-пакет

Криптоінвестори отримали сигнал тривоги після того, як компанія з кібербезпеки Safety 31 липня повідомила про використання шкідливого JavaScript-пакету, створеного за допомогою штучного інтелекту (ШІ), для крадіжки коштів з криптовалютних гаманців. Замаскований під безпечний утиліту під назвою@kodane/patch-manager у реєстрі Node Package Manager (NPM), цей пакет містив вкладені скрипти, розроблені для вичерпання балансів гаманців.

Пол Маккарті, керівник досліджень в Safety, пояснив:

Технологія виявлення шкідливих пакетів Safety виявила шкідливий NPM-пакет, згенерований ШІ, який функціонує як складний криптовалютний гаманець-вичерпувач, підкреслюючи, як зловмисники використовують ШІ для створення більш переконливого та небезпечного шкідливого програмного забезпечення.

Пакет виконував скрипти після установки, розгортаючи перейменовані файли—monitor.js,sweeper.js таutils.js—в прихованих каталогах на системах Linux, Windows та macOS. Фоновий скриптconnection-pool.js підтримував активне з`єднання з сервером командування та контролю (C2), скануючи заражені пристрої на наявність файлів гаманців. Як тільки гаманець було виявлено,transaction-cache.js ініціював фактичну крадіжку: “Коли виявляється файл криптогаманця, цей файл фактично виконує `вичерпування`, що полягає у виведенні коштів з гаманця. Він це робить, визначаючи, що є у гаманці, а потім вичерпуючи більшість з цього.`

Викрадені активи передавалися через жорстко закодованийRemote Procedure Call (RPC) кінцеву точку на конкретну адресу в блокчейні Solana. Маккарті додав:

Вичерпувач призначений для крадіжки коштів у не підозрюючих розробників і користувачів їхніх додатків.

Опублікований 28 липня і видалений 30 липня, шкідливий програмний продукт було скачано понад 1,500 разів, перш ніж NPM відзначив його як шкідливий. Safety, що базується у Ванкувері, відомий своїм підходом до безпеки програмного забезпечення з акцентом на запобігання. Її системи, що працюють на основі ШІ, аналізують мільйони оновлень пакетів з відкритим вихідним кодом, підтримуючи власну базу даних, яка виявляє в чотири рази більше вразливостей, ніж публічні джерела. Інструменти компанії використовуються окремими розробниками, компаніями зі списку Fortune 500 та державними установами.