Supply Chain su Swarm: aggiornamento-trappola ruba chiavi wallet e installa backdoor su Windows, macOS, Linux

Un recente attacco supply chain ha colpito strumenti chiave legati alla rete Swarm per lo storage decentralizzato, sfruttando direttamente i flussi di rilascio automatizzati del progetto Ethersphere. Gli aggressori sono riusciti a pubblicare versioni malevole di bee js 13.3.0 e Swarm Desktop 0.56.2, trasformando un normale aggiornamento software in un veicolo di malware per il furto di chiavi di wallet e l’installazione di backdoor su Windows, macOS e Linux.

Bee js è una libreria JavaScript utilizzata da Swarm Desktop e dal tool a riga di comando swarm cli. In questo caso la compromissione è avvenuta tramite uno script postinstall, eseguito automaticamente da npm durante l’installazione se gli script non sono disabilitati. Questo dettaglio è critico in ottica sicurezza software, perché il codice dannoso poteva attivarsi anche senza che il progetto importasse esplicitamente la libreria. Per circa 75 minuti la versione 13.3.0 è rimasta disponibile come release più recente, con un rischio concreto per installazioni fresche e pipeline CI che risolvono intervalli di versione compatibili.

Swarm Desktop 0.56.2, pubblicato e poi rimosso dopo circa 8 ore e mezza, poteva essere proposto rapidamente tramite updater integrato su Windows x64 e su Mac Apple Silicon. Il malware scaricava ulteriore payload da un dominio remoto e agiva con i permessi dell’utente, cercando file sensibili come config yaml e la chiave swarm key nella cartella dati dell’applicazione. Poiché la password del keystore risultava memorizzata in chiaro nel file di configurazione, il furto di entrambi i file consentiva agli attaccanti di accedere ai fondi del nodo, inclusi token e risorse operative come chequebook e stake.

Oltre al furto credenziali, il payload installava una backdoor persistente. Su Linux e macOS veniva distribuita una remote shell in Go nascosta in una cartella solidity, avviata come servizio utente o LaunchAgent. Su Windows veniva installato un client di accesso remoto ScreenConnect come servizio di sistema, con tecniche per ottenere privilegi elevati e aggiungere esclusioni a Microsoft Defender.

I maintainer hanno rilasciato Swarm Desktop 0.56.3 come versione pulita e ritirato i pacchetti compromessi, ma l’aggiornamento non rimuove eventuali backdoor già installate e non annulla l’esfiltrazione di chiavi già avvenuta. In scenari simili, la gestione dell’incidente richiede verifica delle versioni installate, rotazione di password, token e chiavi da un sistema pulito e spesso il ripristino completo da immagini fidate.