bee-js — JavaScript-библиотека для работы с узлом Bee, а Swarm Desktop — приложение для установки такого узла и Ethereum-кошелька на macOS, Windows и Linux. По анализу StepSecurity, вредоносную версию bee-js опубликовали через обычный процесс выпуска Ethersphere. Socket сообщает, что злоумышленники воспользовались скомпрометированными учётными записями разработчиков и автоматизацией GitHub. Как они получили доступ, не установлено.
Вредоносный загрузчик запускался при установке bee-js, даже если библиотеку не использовали; Swarm Desktop запускал его при каждом старте. Код искал файлы config.yaml и swarm.key и отправлял их на сервер злоумышленников. В swarm.key хранится зашифрованный ключ, а пароль к нему — в открытом виде в config.yaml. Вместе эти файлы дают доступ к кошельку узла. Исследователи не установили, были ли похищены средства.
По данным Socket, на Linux и macOS дополнительный код устанавливал программу с удалённым доступом и автозапуском. В Windows он устанавливал клиент удалённого доступа, который мог работать без запроса пользователя.
Вредоносная версия bee-js находилась в npm около 75 минут — с 00:09:50 до 01:24:58 UTC 9 ноября. Socket оценивает число загрузок примерно в десяток, включая сканеры и зеркала. Swarm Desktop 0.56.2 был доступен около 8,5 часа. Автообновление могло установить его на компьютеры с Windows x64 и Mac на Apple Silicon; Intel Mac и Linux автоматически не обновлялись. К 08:27 UTC 9 ноября релиз скачали 65 раз, включая исследователей.
GitHub Advisory Database рекомендует считать компьютер с вредоносной версией скомпрометированным и сменить ключи с другого устройства. Чистые версии — bee-js 13.2.0 и Swarm Desktop 0.56.3, выпущенный 9 ноября. Удаление релиза не возвращает уже обновившиеся устройства к прежней версии: Swarm Desktop нужно переустановить и проверить номер версии, а сборки для Linux заменить вручную. Если на кошельке узла хранились средства, Socket советует считать ключ и пароль скомпрометированными и перевести активы на новый ключ с чистого компьютера.
