在线无码中文破解|日本影院一区二区三区|五月激情Av在线|国产香蕉视频一区|国产老熟女AAAA|云霸高清91视频|久久久www视频|在线熟女网站无码视频|国产精品 国产|韩日精品中文字幕

一名黑客將惡意拉取請求插入到代碼擴(kuò)展中以太坊網(wǎng)絡(luò)安全公司 ReversingLabs 的研究人員表示。

惡意代碼被插入到ETH代碼，以太坊開發(fā)者用來構(gòu)建和部署 EVM 兼容的開源工具套件智能合約 和 去中心化應(yīng)用.

答ReversingLabs 的博客發(fā)現(xiàn)在 GitHub 拉取請求中隱藏著兩行惡意代碼，該請求包含 43 次提交和 4,000 行更新，主要涉及添加新的測試框架和功能。

該更新于 6 月 17 日由之前沒有更新歷史的用戶 Airez299 添加到 GitHub。

該拉取請求由 GitHub 的 AI 審核員和負(fù)責(zé)創(chuàng)建 ETHcode 的團(tuán)隊(duì) 7finney 的成員進(jìn)行分析。

只要求進(jìn)行微小的修改，7finney 和 AI 掃描儀均未發(fā)現(xiàn)任何可疑之處。

Airez299 能夠通過賦予第一行惡意代碼與現(xiàn)有文件相似的名稱來掩蓋其性質(zhì)，同時(shí)還會混淆和打亂代碼本身，使其更難閱讀。

第二行代碼用于激活第一行代碼，根據(jù) ReversingLabs 的說法，其最終目的是創(chuàng)建一個(gè)自動化功能（Powershell），從公共文件托管服務(wù)下載并運(yùn)行批處理腳本。

ReversingLabs 仍在調(diào)查該腳本的具體功能，盡管它的假設(shè)是“旨在竊取受害者機(jī)器上存儲的加密資產(chǎn)，或者破壞擴(kuò)展用戶正在開發(fā)的以太坊合約”。

正在說話解密博客作者 Petar Kirhmajer 報(bào)道稱，ReversingLabs 沒有跡象或證據(jù)表明該惡意代碼實(shí)際上已被用來竊取代幣或數(shù)據(jù)。

然而，Kirhmajer 在博客中寫道，ETHcode 的安裝量為 6,000 次，并且該拉取請求（作為自動更新的一部分推出）可能已經(jīng)傳播到“數(shù)千個(gè)開發(fā)者系統(tǒng)”。

這可能令人擔(dān)憂，一些開發(fā)人員認(rèn)為，由于加密行業(yè)嚴(yán)重依賴開源開發(fā)，這種漏洞在加密領(lǐng)域經(jīng)常發(fā)生。

“代碼太多，但關(guān)注的人不夠?！?/h2>

據(jù)以太坊開發(fā)人員兼 NUMBER GROUP 聯(lián)合創(chuàng)始人 Zak Cole 稱，許多開發(fā)人員在安裝開源軟件包時(shí)并沒有對其進(jìn)行適當(dāng)?shù)臋z查。

“有人很容易就會把惡意的東西塞進(jìn)去，”他告訴解密?！翱梢允?npm 包、瀏覽器擴(kuò)展，等等。”

最近引人注目的例子包括自 2023 年 12 月起的 Ledger Connect Kit 漏洞以及去年 12 月發(fā)現(xiàn)的Solana 的 web3.js 開源庫中的惡意軟件.

“代碼太多，監(jiān)管力度不夠，”科爾補(bǔ)充道。“大多數(shù)人只是因?yàn)槟硞€(gè)東西很流行或者已經(jīng)存在一段時(shí)間了，就認(rèn)定它是安全的，但這并不意味著什么?！?/p>

科爾肯定地說，雖然這種事情并不是什么新鮮事，但由于越來越多的開發(fā)人員正在使用開源工具，“可解決的攻擊面正在擴(kuò)大”。

“此外，請記住，整個(gè)倉庫里都擠滿了朝鮮特工，他們的全職工作就是執(zhí)行這些任務(wù)，”他說。

雖然 Cole 認(rèn)為潛伏的惡意代碼可能比許多開發(fā)人員意識到的要多，但 Kirhmajer 告訴解密他認(rèn)為“成功的嘗試非常罕見”。

這就引出了一個(gè)問題：開發(fā)人員可以做些什么來減少使用受損代碼的機(jī)會，ReversingLabs 建議他們在下載任何東西之前驗(yàn)證貢獻(xiàn)者的身份和歷史記錄。

該公司還建議開發(fā)人員檢查 package.json 等文件以評估新的依賴項(xiàng)，這也是 Zak Cole 所提倡的。

他說：“有幫助的是鎖定你的依賴關(guān)系，這樣你就不會在每次構(gòu)建時(shí)隨機(jī)引入新的東西。”

Cole 還建議使用掃描奇怪行為或粗略維護(hù)者的工具，同時(shí)留意任何可能突然轉(zhuǎn)手或突然更新的軟件包。

他總結(jié)道：“另外，不要在你用來構(gòu)建東西的機(jī)器上運(yùn)行簽名工具或錢包。除非你檢查過或進(jìn)行過沙盒測試，否則就假設(shè)任何東西都是不安全的?！?/p>