Lỗ hổng bảo mật bee-js kéo dài 75 phút và để lại các cửa hậu mà việc cập nhật không thể loại bỏ

Thời gian diễn ra sự việc cực kỳ ngắn ngủi

Phiên bản bee-js 13.3.0 độc hại chỉ tồn tại trên npm khoảng 75 phút, được phát hành lúc 00:09:50 UTC và bị gỡ bỏ lúc 01:24:58. Swarm Desktop 0.56.2 vẫn khả dụng trong khoảng 8,5 giờ và được tự động cập nhật cho người dùng Windows x64 và Mac dùng chip Apple Silicon, điều này loại bỏ hoàn toàn sự phán đoán của người dùng. Socket ước tính có khoảng 10 lượt tải gói npm so với 3.741 lượt tải bee-js trong tuần trước đó, và 65 lượt tải phiên bản desktop tính đến 08:27 UTC, bao gồm cả các nhà nghiên cứu.

Những con số này rất nhỏ, và những con số nhỏ không phải là điều đáng để an tâm ở đây. Mục tiêu là những người điều hành các node Swarm, mỗi node đều giữ một khóa ví, và payload giai đoạn hai sẽ đọc tệp config.yaml và swarm.key của node rồi gửi cả hai cho kẻ tấn công. Sự kết hợp đó chính là khóa ví và mật khẩu dạng văn bản thuần của nó. Chỉ cần một lần lây nhiễm thành công vào một máy chủ vận hành được đầu tư mạnh là đủ để trang trải chi phí hoạt động.

Tại sao chứng thực nguồn gốc không giúp ích gì

Mã độc hại được phát hành thông qua quy trình CI hợp pháp và quy trình xuất bản đáng tin cậy của Ethersphere, điều này có nghĩa là các chứng thực nguồn gốc trên gói phần mềm là chính xác. Mọi biện pháp phòng thủ chuỗi cung ứng xác minh gói phần mềm đến từ kho lưu trữ chính xác thông qua quy trình chính xác đều cho kết quả đạt.

Đây là bài học khó chịu. Chứng thực nguồn gốc chứng minh rằng quy trình xây dựng đã tạo ra sản phẩm. Nó không chứng minh được gì về việc liệu cam kết nguồn có được ủy quyền hay không, và những kẻ tấn công đã có quyền truy cập vào các tài khoản GitHub nugaon và bee-worker, với nguồn gốc của quyền truy cập đó vẫn chưa được giải thích. Một kịch bản tạo phiên bản được viết lại đã trở thành một hook sau cài đặt, tải và thực thi JavaScript từ xa với đầy đủ đặc quyền Node, và nó đã được đưa đến người dùng thông qua quy trình đáng tin cậy. Cùng một trình tải đã chạy trong tiến trình chính của Electron trên mỗi lần khởi chạy Swarm Desktop, vì vậy người dùng đã cài đặt bản cập nhật và không bao giờ mở thiết bị đầu cuối đã hoàn toàn bị phơi bày.

Khả năng tồn tại dai dẳng mới là phần ít được báo cáo

Trên macOS và Linux, phần mềm độc hại cài đặt một backdoor Go vào thư mục ~/.solidity/, tồn tại dưới dạng một đơn vị người dùng systemd có tên solidity-langsupport-runner.service hoặc một LaunchAgent có tên com.solidity.langsupport.runner, cung cấp quyền truy cập shell từ xa. Trên Windows, một trình tải PowerShell cố gắng leo thang đặc quyền, thêm ngoại lệ Microsoft Defender và âm thầm cài đặt một máy khách ScreenConnect dưới dạng dịch vụ SYSTEM.

Một máy khách ScreenConnect chạy với quyền SYSTEM cho phép điều khiển từ xa hoàn toàn máy tính bằng phần mềm hỗ trợ từ xa thương mại hợp pháp, điều mà hầu hết các công cụ điểm cuối sẽ không phát hiện. Ngoại lệ Defender có nghĩa là kẻ tấn công đã vô hiệu hóa khả năng phát hiện rõ ràng. Không có gì trong số này được loại bỏ bằng cách gỡ cài đặt Swarm Desktop hoặc ghim bee-js trở lại phiên bản 13.2.0.

Khắc phục sự cố yêu cầu xóa thủ công thư mục ~/.solidity/, LaunchAgent, đơn vị systemd và dịch vụ ScreenConnect, xoay vòng mọi thông tin xác thực có thể truy cập được từ môi trường, bao gồm cả thông tin xác thực đám mây CI, và chuyển tiền sang một khóa mới được tạo trên một máy tính sạch. Bất kỳ ai đã chạy cài đặt với các tập lệnh được bật trong khoảng thời gian đó nên cho rằng môi trường đã bị xâm phạm thay vì hy vọng số lượt tải xuống ước tính sẽ bảo vệ họ.

Kênh điều khiển nằm trên chuỗi khối

Người điều hành lưu trữ địa chỉ trung tâm hiện tại và URL tải trọng trong một hợp đồng Ethereum tại 0xf8a900Db50b3331be6B768bA460BB59f3E40C344, được triển khai vào tháng 3 năm 2026, cho phép họ xoay vòng máy chủ C2 mà không cần chạm vào phần mềm độc hại. Hợp đồng và ví tương tự đã xuất hiện trong chiến dịch SleepyDuck trước đó chống lại Open VSX.

Việc sử dụng hợp đồng thông minh làm kho lưu trữ cấu hình có khả năng phục hồi tốt hơn so với C2 thông thường. Không có tên miền nào để chiếm đoạt và không có máy chủ nào để gỡ xuống, và lưu lượng tra cứu là một cuộc gọi RPC thông thường. Những người phòng thủ chỉ cần theo dõi các kết nối đến api.frameworkmetrics.xyz, một tên miền được đăng ký vào ngày 6 tháng 11, ba ngày trước khi sử dụng.

Đánh giá và kết luận

Điều này xảy ra sau vụ rò rỉ thông tin đăng nhập GitBook vào ngày 2 tháng 11 và vụ xâm phạm công cụ giám sát bên thứ ba Keystone trước đó. Điểm chung của cả ba vụ việc là không vụ nào đụng chạm đến mật mã học hay giao thức. Chúng lấy cắp thông tin đăng nhập của nhà phát triển và nhà cung cấp rồi sử dụng các kênh phân phối đáng tin cậy để tiếp cận người dùng.

Đối với các nhóm phát triển giao thức, kết luận thực tế mà hầu hết vẫn chưa thực hiện là liệt kê mọi thông tin đăng nhập có thể truy cập vào kho lưu trữ hoặc quy trình xuất bản và coi danh sách đó là bề mặt tấn công thực sự. Đối với người vận hành node, tính năng tự động cập nhật là một tiện ích cho phép tài khoản người bảo trì bị xâm phạm có thể thực thi trực tiếp trên máy của bạn, và đối với bất kỳ phần mềm nào lưu giữ khóa, tính năng này cần phải được tắt.

Tuyên bố miễn trừ trách nhiệm: Nội dung trong bài viết này chỉ nhằm mục đích cung cấp thông tin, nghiên cứu, phân tích dữ liệu và tham khảo về thị trường tài sản mã hóa. Mọi quan điểm, đánh giá, dự báo hoặc nhận định đều phản ánh góc nhìn của tác giả tại thời điểm công bố, không cấu thành lời khuyên đầu tư, lời mời chào mua bán, khuyến nghị giao dịch, quảng cáo, tiếp thị hoặc giới thiệu bất kỳ sản phẩm, dịch vụ tài chính hay tài sản mã hóa nào. Việc đề cập đến các dự án, token, giao thức, sàn giao dịch, ví lưu trữ hoặc các tổ chức cung cấp dịch vụ tài sản mã hóa (CASP) chỉ nhằm mục đích nghiên cứu, phân tích hoặc đưa tin và không được hiểu là sự chứng thực, khuyến nghị hoặc bảo đảm dưới bất kỳ hình thức nào. HCCVenture không thực hiện hoạt động môi giới, quảng cáo, tiếp thị, giới thiệu hoặc kết nối người dùng tại Việt Nam với bất kỳ dịch vụ tài sản mã hóa nào của các CASP. HCCVenture không nhận lưu ký tài sản, không nhận ủy thác đầu tư, không quản lý tài sản hoặc thực hiện giao dịch thay khách hàng. Mọi quyết định đầu tư hoàn toàn do người đọc tự nghiên cứu (DYOR), tự đánh giá và tự chịu trách nhiệm; HCCVenture không chịu trách nhiệm đối với bất kỳ tổn thất hoặc thiệt hại nào phát sinh từ việc sử dụng hoặc dựa trên các thông tin được trình bày trong bài viết.

HCCVENTURE QUANT JSCO

Kết nối với chúng tôi

© 2026 HCCVENTURE . MỌI QUYỀN TÁC GIẢ ĐƯỢC BẢO LƯU

Thông tin liên hệ

Địa chỉ : Tầng 8, Tòa nhà Bạch Đằng Complex, 50 Bạch Đằng, Phường Hải Châu, Thành Phố Đà Nẵng, Việt Nam.

Điện thoại : 1900 1509

Gmail : sp_contact@hccventure.com

Thông tin về chúng tôi

Điều khoản

Phân tích thị trường

Khám phá HCCVenture group

Nội dung phổ cập

Đối tác chiến lược

Chính sách bảo mật

→ Đối tác chiến lược

→ Dữ liệu On-chain

→ Nhà đầu tư

→ Quan hệ truyền thông

→ Báo cáo thị trường

→ Dòng tiền ETFs

Nhận định chiến lược

Chia sẻ kiến thức

Miễn trừ trách nhiệm: Thông tin trên website này chỉ nhằm mục đích cung cấp thông tin tham khảo và không được xem là lời khuyên đầu tư. Chúng tôi không chịu trách nhiệm đối với bất kỳ rủi ro hay tổn thất nào phát sinh từ các quyết định đầu tư dựa trên nội dung tại đây.

ĐIỀU KHOẢN VÀ ĐIỀU KIỆN • CHÍNH SÁCH BẢO VỆ KHÁCH HÀNG

CÁC NỘI DUNG PHÂN TÍCH VÀ TIN TỨC ĐỀU ĐƯỢC TỔNG HỢP VÀ CUNG CẤP BỞI CÁC CHUYÊN GIA TRONG LĨNH VỰC TÀI CHÍNH SỐ VÀ BLOCKCHAIN THUỘC TỔ CHỨC HCCVENTURE, BAO GỒM QUYỀN SỞ HỮU NỘI DUNG.

CHỊU TRÁCH NHIỆM QUẢN LÝ TOÀN BỘ NỘI DUNG VÀ PHÂN TÍCH : NHÀ SÁNG LẬP HCCVENTURE - TRUONG MINH HUY

Đọc cảnh báo về lừa đảo và email lừa đảo — BÁO CÁO SỰ CỐ VỚI TRANG WEB CỦA CHÚNG TÔI.

Tin tức

CÔNG TY CỔ PHẦN DỮ LIỆU ĐỊNH LƯỢNG HCCVENTURE HOẠT ĐỘNG TRONG LĨNH VỰC PHÂN TÍCH DỮ LIỆU ON-CHAIN TÀI SẢN MÃ HÓA TRÊN BLOCKCHAIN VÀ CUNG CẤP CÁC BÁO CÁO NGHIÊN CỨU THÂM DÒ THỊ TRƯỜNG TÀI SẢN MÃ HÓA. KIỂM TRA THÔNG TIN HỒ SƠ DOANH NGHIỆP (MÃ SỐ DOANH NGHIỆP : 0402354866) TẠI WWW.MASOTHUE.COM