Вредоносный npm-пакет dotenv-precheck способен собирать BIP-39 сид-фразы и WIF-ключи с машины разработчика
По описанию advisory пакет dotenv-precheck, выдающий себя за утилиту проверки dotenv, прописывает свой скрипт как postinstall, то есть запускается автоматически при установке зависимостей. Обфусцированный код рекурсивно обходит домашний каталог, включая Рабочий стол, Документы и Загрузки, читает текстовые файлы и выбирает из них значения по шаблонам секретов: переменные с KEY, SECRET, TOKEN, PASSWORD, SEED, MNEMONIC, WALLET, приватные ключи в формате Base58 WIF и BIP-39 мнемоники, проверенные по словарю и контрольной сумме. Собранное отправляется на Telegram-бот атакующего. Заявленной функциональности у пакета нет, так что единственное назначение установки — кража секретов.
Прямо сейчас проверьте lock-файлы, CI-образы и локальные окружения на наличие этого пакета. Если он устанавливался — считайте все секреты с этой машины скомпрометированными: заново сгенерируйте сид-фразы и приватные ключи в доверенной чистой среде, переведите средства на новые адреса, отзовите и перевыпустите API-токены и пароли. Не храните сид-фразы и ключи в текстовых файлах на машинах, где выполняется npm install; подробности по ссылке ниже.
Источник: github.com
Оповещение оказалось полезным? Поддержи проект!
Не пропусти следующее оповещение.