Solidity Pro VSCode extensie bevat verborgen malware voor Web3 ontwikkelaars

Beveiligingsbedrijf SlowMist heeft kwaadaardige functies ontdekt in Solidity Pro, een populaire extensie voor de code editor VSCode die gericht is op ontwikkelaars die werken met Solidity en Web3. Eerdere versies van de extensie, uitgebracht onder twee verschillende uitgeversaccounts, bevatten code om inloggegevens te stelen, op afstand code uit te voeren en zichzelf ongemerkt bij te werken. De extensie beweert door meer dan 100.000 blockchain ontwikkelaars te worden gebruikt.

In het kort:

• Solidity Pro bevatte in eerdere versies code om gevoelige gegevens te stelen, waaronder walletgegevens, SSH sleutels en omgevingsvariabelen.
• De kwaadaardige functies verdwenen uit latere versies, maar sporen van de oude uitgever zijn nog steeds terug te vinden in de broncode.
• SlowMist waarschuwt dat beveiligingsscans die alleen de huidige versie controleren dit soort aanvallen niet detecteren.

Gegevens gestolen via telemetrie en automatische updates

Volgens het onderzoek van SlowMist verzamelde de extensie bij activering direct gevoelige informatie van het systeem van de ontwikkelaar. De Web3Analytics module stuurde gegevens over wallets, repositories, cloudopslag, SSH sleutels, omgevingsvariabelen en tokens via twee kanalen naar externe servers: via een gewone HTTPS POST en via een multipart formulier.

Tegelijkertijd startte een AutoUpdater module die elke dertig minuten controleerde of er een nieuwe versie beschikbaar was. Die updates werden zonder hash of handtekeningcontrole geïnstalleerd, waardoor aanvallers op elk moment aangepaste code konden verspreiden naar geïnfecteerde systemen.

Een derde mechanisme, gevonden in een eerdere versie onder de uitgeversnaam helper-beeps, activeerde zich specifiek wanneer Solidity bestanden werden geopend in Hardhat of Foundry projecten. Na een willekeurige vertraging van 24 tot 48 uur controleerde de extensie of het systeem draaide in een CI omgeving zoals GitHub Actions of Jenkins. Als dat niet het geval was, haalde het versleutelde code op van een externe server, ontsleutelde die met AES-GCM en voerde een tijdelijk Python script uit dat zichzelf na ongeveer 60 seconden verwijderde.

Malafide code verdween, maar sporen bleven achter

SlowMist stelt dat de kwaadaardige functies in latere versies van Solidity Pro niet meer aanwezig zijn. Toch zijn in de huidige broncode op GitHub nog verwijzingen naar de eerdere uitgever en oude code terug te vinden. De extensie is inmiddels gepubliceerd onder een derde uitgeversaccount, MydzCP.

Dat maakt detectie lastig, zegt SlowMist. Beveiligingstools die alleen de meest recente versie van een extensie analyseren, zien de kwaadaardige geschiedenis niet. Volgens het volledige rapport van SlowMist is dit een blinde vlek in de beveiliging van extensies: een extensie die eerder besmet was, kan na een schone update opnieuw als veilig worden beoordeeld.

SlowMist roept beveiligingsonderzoekers en platformbeheerders op om bij de beoordeling van extensies ook versiegeschiedenis, wissels van uitgever, de herkomst van de build en externe update mechanismen mee te nemen. Ontwikkelaars die Solidity Pro hebben geïnstalleerd, worden geadviseerd de extensie onmiddellijk te verwijderen en hun inloggegevens, SSH sleutels en omgevingsvariabelen te controleren op misbruik.