Ethersphere のリリース自動化が悪意ある @ethersphere/bee-js@13.3.0 を npm に公開し、Swarm Desktop 0.56.2 を GitHub Releases に公開した。どちらも api.frameworkmetrics.xyz から取得したコードを実行するローダを含む。npm の latest だった時間は 11月9日 00:09:50 から 01:24:58 UTC。GitHub Advisory は GHSA-hh7j-5m3j-23pf。Swarm Desktop 0.56.2 は約 8 時間半公開され、Apple Silicon と Windows x64 の自動更新が対象。正規の trusted publishing と、macOS では Developer ID 署名および Apple の公証が付いた。
bee-js は postinstall でローダを走らせる。npm 11 以前、Yarn Classic、Yarn Berry 4.14.0 未満は依存の install script を既定で実行する。npm 12、pnpm 10 以降、Yarn Berry 4.14.0 以降、Bun、Deno は未レビューの script を既定では走らせない。インストールが失敗しても、応答が始まったあとはコードが走った可能性がある。
Swarm Desktop は起動のたびにローダを実行し、ノードの鍵と平文パスワードを送りうる。持続化は ~/.solidity/、Linux の solidity-langsupport-runner.service、macOS の com.solidity.langsupport.runner、Windows の ScreenConnect Client (5cbe79c9c25524df)。アプリの再インストールでは消えない。
@ethersphere/bee-js@13.3.0を lockfile、キャッシュ、ミラーから探し、13.2.0 に固定する。script が走ったマシンと CI の資格情報は別のクリーンなマシンから回す- Swarm Desktop はログの
Bee Desktop version: 0.56.2 (production)を見る。0.56.3 へ上げ、0.56.2 が起動したノードの資金と stake は新しい鍵へ移す。Linux パッケージは手で入れ替える