800 ondsinnede npm-pakker sprer plattformuavhengig RAT og infostjeler
Trussel fra ondsinnede npm-pakker
Nylig ble det oppdaget nesten 800 ondsinnede npm-pakker som distribuerer plattformuavhengig malware, inkludert Remote Access Trojans (RAT) og infostjeler-programmer. Dette har blitt identifisert som en del av en ny kampanje som retter seg mot Windows-, Mac- og Linux-systemer. Hovedfakta: – Nesten 800 ondsinnede npm-pakker oppdaget. – Bruker typosquatting for å lure utviklere. – Aktiverer WEL1DROPPER for å distribuere skadevare. – Øker risikoen for sensitiv informasjon og sikkerheten til utviklingsprosjekter. – Inneholder mekanismer for å skjule ondsinnet aktivitet som telemetry SDK-er.
Forskeren Paul McCarty fra OpenSourceMalware forklarer at disse pakkene bruker en metode kjent som typosquatting, hvor navnet på pakkene ligner på legitim programvare men er tilfeldige variasjoner. I motsetning til tidligere angrep, inneholder de nye pakkene en README-fil som ber utviklere om å bruke require() for å laste dem inn. Når koden kjøres, aktiveres en nedlaster kalt WEL1DROPPER. Denne nedlasteren oppdager hvilken type operativsystem og prosessorarkitektur som er i bruk, og henter en passende payload fra en av tre Cloudflare Workers-verter. Hvis nedlastingen via HTTPS mislykkes, bytter malware over til spesifikke domener og bruker DNS TXT-poster for å finne den neste fasen av angrepet.
Konsekvenser av plattformuavhengig malware
Denne utviklingen innen cybersikkerhet er betydelig. Et stort antall ondsinnede pakker opererer på tvers av plattformer, noe som gjør dem spesielt farlige. For utviklere betyr dette at sikkerheten til deres prosjekter kan bli truet av pakker de anser som harmløse. Kampanjen illustrerer hvordan ondsinnede aktører utnytter populære verktøy som npm til å distribuere malware. Angrepet viser hvor sårbart utviklingssamfunnet er for ny teknologi og angrepsmetoder, spesielt når ondsinnede aktører er flinke til å tilpasse seg og forbedre angrepene sine.
I tillegg prøver noen av de ondsinnede pakkene å skjule sin aktivitet gjennom bruk av overvåkingsverktøy som telemetry SDK-er, som igjen kan bidra til å samle inn sensitiv informasjon fra ofrene. Det er også tegn på at kampanjen kan rette seg inn mot selskaper innen finanssektoren, ettersom noen domener assosiert med angrepene peker mot russiske banker og betalingsmetoder.
Sårbarhet i utviklingssamfunnet
Ondsinnede aktører som distribuerer disse pakkene har et klart mål: å hente ut sensitive data fra utviklere og brukere. Dette kan potensielt føre til omfattende konsekvenser, fra datalekkasjer til skade på omdømmet for berørte selskaper. De økonomiske gevinstene fra å stjele data kan gi dem ressurser til å utvikle flere angrep.
Det er imidlertid verdt å merke seg at kildegrunnlaget har sine begrensninger. Vi kan ikke i dag presisere hvor stor skaden kan bli; dette avhenger av hvilke data som blir stjålet, og hvordan de videre blir utnyttet. Dermed står mange spørsmål igjen ubesvarte. Kan disse angrepene spores tilbake til bestemte aktører? Hvor mange brukere er i fare for å bli rammet av disse pakkene?
Målretting mot sensitive sektorer
At så mange ondsinnede pakker kan slippe gjennom API-ene til populære utviklingsverktøy som npm, reiser spørsmål om de eksisterende sikkerhetsprosedyrer og -kontroller i disse økosystemene. Utviklere og plattformadministratorer må ta et større ansvar for sikkerheten i utviklingsmiljøer. Alvorligheten av angrepene sier noe om behovet for økt bevissthet og overvåkning for tidlig oppdagelse av mistenkelige aktiviteter.
Denne saken fungerer som en påminnelse om at selv de mest utbredte og anerkjente kodepakke-lagerne ikke er immune mot angrep. Utviklere må være mer årvåkne, og det er nødvendig med strengere sikkerhetstiltak for å skape tryggere utviklingspraksiser i fremtiden. Den stadig utviklende teknologien i angrepene viser tydelig behovet for bedre utdanning og ressurser for å håndtere trusler i cybersikkerhetslandskapet.
