OX Security披露PolinRider恶意软件用以太坊(ETH)隐藏4个服务器IP

藏在ETH交易数据中的服务器地址

网络安全公司OX Security的研究人员发现,一款名为PolinRider的恶意软件把命令与控制服务器的地址写进了以太坊(ETH)区块链的交易数据中。这种构造让攻击者可以随时更换基础设施,而被感染的软件本身全程无需改动。该发现发布于11月4日,报告题为「PolinRider回归:被劫持的npm包与用以太坊掩盖恶意软件基础设施」。本周市场注意力集中在以太坊价格上,但这份披露针对的是以太坊网络的另一项属性:Ethereum网络的交易账本是公开、永久且任何程序都能读取的,这恰恰使它成为一处理想的藏身之所。PolinRider通过npm传播。npm是开发者下载现成组件的公共仓库,这类组件被拉入无数项目之中,一个被劫持的组件可以把恶意软件带往远超单一目标的对象。攻击者没有发布新的恶意代码,而是劫持了本已在正常流通的既有软件包,并把PolinRider嵌入其中。开发者一旦安装受影响的包,代码就会在自己机器上执行,这台机器随即成为攻击者投放下一阶段载荷的落脚点。不同寻常之处在于代码寻找指令的位置。传统恶意软件会把控制服务器地址硬编码进程序本体,防御者因此有一个固定的目标可以查找和封禁;封掉一台服务器,攻击者就得重写并重新分发恶意软件,代价高昂。PolinRider的做法是:被感染的程序检查以太坊上记录的一笔特定交易,从该交易的数据字段中提取隐藏的服务器地址,随后连接服务器下载并运行更多恶意代码。整个方案甚至不需要智能合约,普通交易数据就足以承载地址。一次链上写入,替代了原本需要重写和重新分发恶意软件的全部工作量。

据OX Security披露,该公司识别出该攻击活动中使用的1个以太坊地址,以及参与分发恶意软件的4个服务器IP地址。这些威胁指标为网络防御者提供了可用于排查自身日志的具体线索。攻击者选择劫持既有软件包而非新建软件包,原因在于成熟的组件自带信任度和既有安装量,很少有开发者会去质疑一个自己见过的更新。恶意代码进入机器之后,区块链环节就接管了整个活动的抗打击机制。链上并不存放恶意软件本身,只存放指向它的指针,因此在区块链上扫描可疑载荷不会有任何明显收获。即便安全团队发现并封禁了一台分发服务器,攻击者只需把新的服务器地址写入一笔新的以太坊交易,所有已被感染的机器会自动读取新条目并重新连接。终端上什么都不用改动,行动就能存续,攻防双方的力量对比由此被颠倒。报告同时回应了机器所有者面临的风险:如果恶意软件确实已执行,OX Security建议排查受影响计算机上存储的加密钱包信息和登录凭据是否暴露,因为运行在开发者工作站上的代码通常就位于这些数据的旁边。该公司未报告已确认的失窃事件,而是把暴露风险界定为需要核查的事项。研究人员在总结中指出,日常开发所用的普通软件组件可以成为攻击路径,公开的区块链交易数据同样可以被挪用为恶意软件分发服务。

把区块链读成攻击者的基础设施

这项技术改变了执法与封禁行动的算术。切断一台服务器只能为防御者争取几个小时,而非胜负本身,因为攻击者只需支付一笔微不足道的gas费,就能把下一个地址发布到链上,而记录在以太坊上的数据经验证者确认后不可编辑、无法下架。加密混币器用来掩盖资金流向,PolinRider则反其道而行之,把基础设施细节摆在明面上,只是只有被感染的代码知道去哪里看。这样一来,终端就成了持久的防线:开发团队需要掌握自己机器上运行着哪些软件包,以及这些软件包查询了哪些外部地址。OX Security公布的指标,1个地址和4个服务器IP,正是这场排查的起点。