SlowMist、Ethereum(ETH)ユーザーにSwarm経由のサプライチェーン攻撃を警告

公式リリース経路に紛れたマルウェア

分散型ストレージプロジェクトSwarmを狙ったサプライチェーン攻撃が、ユーザーが最も信頼する経路、つまり公式のソフトウェア更新を通じてEthereum (ETH)ユーザーに届けられていた。ブロックチェーンセキュリティ企業のSlowMistは火曜日、緊急の注意喚起を発出した。攻撃者がGitHubアカウントを乗っ取り、正規のリリースプロセスを悪用して悪意あるビルドを公開していたため、被害者は通常のSwarmダウンロードと見分けがつかないままマルウェアをインストールしたという。この方法で侵害されたソフトウェアは2件に上る。影響を受けるコードは、より広いイーサリアムエコシステム内の分散型ストレージネットワークであるSwarmに属し、Windows、macOS、Linuxのいずれでも動作する。マシンに侵入したマルウェアは、攻撃者が管理するインフラからJavaScriptコードを取得して実行する。つまり感染したインストーラーは、潜伏するだけでなく即座に「生きた」感染状態へ変わる。その先のリスクも具体的だ。悪意あるリリースは暗号資産ウォレットの認証情報を侵害し、秘密鍵を盗み、影響を受けたシステムに恒久的なバックドアを開く可能性がある。なお、今回の警告はイーサリアムの価格動向ではなくツール群に関するもので、注意喚起の中でオンチェーン上の資金がすでに流出したとの主張はされていない。開示が確定させたのは配送経路だ。発信源で開発者アカウントが乗っ取られ、正規のリリース経路を通じて悪意あるビルドが配布され、3つのOSの利用者は事後的に自分のインストール済みコピーが安全かを確認しなければならない状態に置かれた。Swarmはエコシステムのストレージ基盤として機能しているため、警告の対象は広い。3プラットフォームのいずれかで該当リリースをダウンロードした全ユーザーだ。SlowMistはX上に詳細な分析を公開し、配送経路と駆除手順の両方を示した。

スマートコントラクトが命令サーバーに

この攻撃の仕組みは、単発のトロイの木馬にとどまらない。SlowMistがXで公開した注意喚起によれば、攻撃者はイーサリアム (ETH)のスマートコントラクトを分散型のコマンドアンドコントロール設定リポジトリとして利用している。これはオンチェーン上に置かれた命令格納庫だ。設定がコントラクト内にあるため、攻撃者はマルウェアを管理するサーバーアドレスを必要に応じて差し替えられる。すでに感染済みのマシンに新しい悪意あるビルドを配布し直す必要はない。したがって、特定のサーバーを1つ遮断しても攻撃活動は止まらない。SlowMistはさらに、同じコントラクトが過去にSleepyDuckおよびEtherDuckと呼ばれるマルウェア活動と関連していたと指摘する。これらのキャンペーンは、Open VSXマーケットプレイスで配布された悪意ある拡張機能を通じて開発者を標的としていた。同じインフラの再利用は、今回のSwarm事件が単一の動機による孤立した事件ではなく、暗号資産の開発者とユーザーを侵害することを狙ったより広範な作戦の一部である可能性を示している。SlowMistとは別に、独立系のセキュリティ研究者ら(SocketとSafeDep)も、Swarmのウォレットファイルを盗み出し、感染システムに永続的なリモートアクセスツールを配置する目的で作られたマルウェアを確認した。両者の調査結果は持続性の問題で注意喚起と一致する。これらのツールはマシンに留まり続けるために作られたもので、一度実行されて消えるタイプではない。駆除手順は具体的だ。SlowMistは、影響を受けるパッケージを直ちにアンインストールし、クリーンなバージョン13.2.0へロールバックするよう勧めている。また、Swarm Desktop v0.56.2を実行している場合は、クリーンなv0.56.3へ更新すべきだとしている。一方で注意喚起は明示していない点もある。侵害されたビルドが誰かに指摘されるまでリリース経路にどれほどの期間放置されていたのか、その間に何台のマシンがダウンロードしたのか。公表時点でこれらの数値は開示されていない。

利用者の手に残った最後の防衛点

今回の開示で際立つのは、ペイロードよりも命令層の方だ。マルウェアの設定を、コントラクトが稼働するレイヤー1ネットワークであるイーサリアム上のスマートコントラクトに固定したことで、攻撃者はサーバー遮断に耐えるインフラのローテーションを得た。ホスティング事業者に圧力をかけても効果は薄い。それでも中断できる段階は利用者側のマシン上にある。パッケージをアンインストールしてバージョン13.2.0へ戻す、あるいはSwarm Desktopをv0.56.3へ更新する、という対応は、さらなる被害が出る前にインストール済みのペイロードを遮断する手段だ。デスクトップクライアントからブロックチェーンノードまで、イーサリアムエコシステムのソフトウェアを動かしている人にとって、監視すべき表面は更新チャネルそのものである。自宅でイーサリアムノードを運用するかどうかを検討している読者も、同じ種類のリスクに直面する。注意喚起は被害者数を特定しておらず、現時点で公表された数もない。