Nová kampaň zaměřila úložiště packetů NPM s škodlivými knihovnami JavaScriptu, které jsou navrženy k infikování uživatelů Robloxu s open-source malwarem kradoucím data, jako jsou Skuld a Blank-Grabber.
„Tento incident zdůrazňuje, jak děsivě snadné je pro útočníky spustit útoky na dodavatelský řetězec tím, že využijí důvěry a lidských chyb v rámci open-source ekosystému. K tomu mohou použít snadno dostupný komoditní malware, veřejné platformy jako GitHub k hostování škodlivých souborů a komunikační kanály, jako jsou Discord a Telegram, k C2 operacím, čímž obcházejí tradiční bezpečnostní opatření,“ uvedl bezpečnostní expert Socket Kirill Boychenko.
Seznam škodlivých packetů je následující:
– node-dlls (77 stažení)
– ro.dll (74 stažení)
– autoadv (66 stažení)
– rolimons-api (107 stažení)
Stojí za zmínku, že node-dlls je pokus útočníka maskovat se jako legitimní paket node-dll, který nabízí implementaci dvoustranně propojeného seznamu pro JavaScript. Podobně rolimons-api je klamná varianta Rolimon’s API.
„Ačkoli existují neoficiální moduly, jako je paket rolimons pro Python (stažený více než 17 000krát) a modul Rolimons pro Lua na GitHubu, škodlivé pakety rolimons-api se pokusily zneužít důvěry vývojářů ve známá jména,“ poznamenal Boychenko.
Falešné pakety obsahují zašifrovaný kód, který stahuje a spouští Skuld a Blank Grabber, rodiny malwaru kradoucího data napsané v Golangu a Pythonu, které jsou schopné shromažďovat širokou škálu informací z infikovaných systémů. Zachycená data jsou poté poskytnuta útočníkovi prostřednictvím webhooku Discordu nebo Telegramu.
Ve snaze dále obejít bezpečnostní ochrany jsou binární soubory malwaru získávány z úložiště GitHub („github[.]com/zvydev/code/“) kontrolovaného útočníkem.
Popularita Robloxu v posledních letech vedla k tomu, že útočníci aktivně šíří falešné pakety, aby cílili na vývojáře i uživatele. Začátkem tohoto roku bylo objeveno několik škodlivých paketů jako noblox.js-proxy-server, noblox-ts a noblox.js-async, které se vydávaly za populární knihovnu noblox.js.
S tím, jak hackeři zneužívají důvěru ve široce používané pakety k šíření packetů s překlepy, se vývojářům doporučuje ověřovat názvy packetů a pečlivě zkoumat zdrojový kód před jejich stažením.
Zdroj: thehackernews.com
Zdroj: IT SECURITY NETWORK NEWS
Zdroj: ICT NETWORK NEWS
