Исследователи безопасности обнаружили первую в истории атаку на цепочку поставок с открытым исходным кодом, сочетающую технологию блокчейна с традиционными векторами атак.

Вредоносный пакет «jest-fet-mock» на npm подделывает две легитимные и широко используемые утилиты тестирования JavaScript: «fetch-mock-jest» и «Jest-Fetch-Mock». Эти легитимные пакеты используются в средах разработки, где разработчики обычно имеют повышенные системные привилегии.

Вредоносная программа использует смарт-контракт в блокчейне, чтобы получить адрес сервера управления, через который злоумышленники могут контролировать зараженные устройства.

Так злоумышленники получают два ключевых преимущества: их инфраструктуру становится практически невозможно вывести из строя из-за неизменяемой природы блокчейна, а децентрализованная архитектура чрезвычайно затрудняет блокировку этих коммуникаций.

Таким образом, даже если сетевые защитники блокируют один сервер C2, их противники могут просто переключиться на новый, обновив контракт.