Ethersphere發布流程遭入侵，惡意版bee-js與Swarm Desktop經官方管道散布

去中心化儲存網路Swarm的開發組織Ethersphere遭軟體供應鏈攻擊，攻擊者利用專案的GitHub發布流程，將含有惡意程式的JavaScript套件bee-js 13.3.0上架NPM，並發布Swarm Desktop 0.56.2。惡意程式可竊取節點錢包金鑰，並在使用者電腦植入遠端控制後門。

bee-js是連接Swarm儲存節點的JavaScript程式庫，Swarm Desktop則是管理節點的桌面應用程式，Ethersphere在GitHub修復紀錄指出，攻擊者使用遭竊的CI憑證發布惡意桌面版本。資安業者Socket調查發現，專案維護者及自動化發布帳號疑遭入侵，但憑證最初如何外洩仍不清楚。

攻擊者利用遭入侵的bee-worker帳號，在GitHub發布植入惡意程式碼的bee-js 13.3.0。由於專案原有的自動化發布流程未檢查程式碼是否來自受保護分支，且透過GitHub發布新版本時會略過測試，攻擊者得以利用官方GitHub Actions將惡意套件上架NPM。

攻擊者在bee-js 13.3.0加入安裝後執行的postinstall指令，讓套件安裝時從外部伺服器下載並執行JavaScript，只要套件管理工具允許執行安裝指令碼，即使開發者未直接使用bee-js功能，也可能觸發攻擊，惡意載入程式甚至在Ethersphere自己的NPM發布工作中執行了3次。

Swarm Desktop 0.56.2則遭植入惡意程式碼，使用者每次啟動應用程式時，就會自動連線至攻擊者控制的伺服器，下載並執行遠端JavaScript程式碼。

後續惡意程式會嘗試讀取Swarm節點的錢包金鑰檔與存放解鎖密碼的設定檔，傳送給攻擊者，並依作業系統安裝後門。Windows版本濫用合法工具ScreenConnect建立遠端存取，macOS與Linux版本則植入Go語言後門，透過以太坊智慧合約取得控制伺服器位址。相關合約與先前SleepyDuck攻擊活動使用的基礎設施相同。

惡意bee-js透過官方NPM發布流程上架，並附有有效的套件來源證明，但該證明只能確認套件的建置來源，無法保證程式碼安全。Swarm Desktop的macOS版本也使用專案憑證簽署，並通過蘋果公證，部分Windows及Apple Silicon Mac使用者可能經由自動更新取得受污染版本。

bee-js 13.3.0在NPM上架約75分鐘後下架，Swarm Desktop 0.56.2公開約8個半小時後也遭撤回，Ethersphere已發布乾淨版本Swarm Desktop 0.56.3，bee-js使用者可改用13.2.0。曾執行惡意程式的使用者，應檢查電腦是否已遭植入後門，並更換可能外洩的金鑰與憑證。