Múltiples ataques a la cadena de suministro de software afectaron al ecosistema npm, y los atacantes utilizaron versiones maliciosas y envenenadas de más de 50 paquetes legítimos para distribuir ladrones de información basados en Rust y gusanos autopropagables, respectivamente.
Según JFrog, el ladrón de información «recopila toda la información confidencial que puede encontrar en la máquina del desarrollador, se esconde detrás de un rootkit del núcleo eBPF y responde al operador a través de Tor».
El ladrón también utilizó credenciales robadas como mecanismo de propagación, mostrando similitudes con el infame gusano Shai-Hulud. El nuevo malware recibió el nombre en código «IronWorm» de una empresa de seguridad de la cadena de suministro de software. Este enfoque desencadena un ataque de autorreplicación al exponerse al registro npm en forma de un paquete troyanizado.
Esta actividad maliciosa se remonta a una cuenta npm comprometida llamada ‘asteroiddao’, que publicaba versiones de paquetes que contenían binarios Rust ELF que se ejecutaban mediante ganchos de preinstalación.
El malware se dirige a 86 variables de entorno, varios archivos que pueden contener credenciales asociadas con OpenAI Codex, Anthropic, Claude, Google Gemini, Cursor, Amazon Web Services (AWS), Docker, Kubernetes y npm, configuraciones de bóveda y archivos de billetera de criptomonedas Exodus.
Una peculiaridad inusual que vale la pena mencionar aquí es que el ladrón incluye una lógica que permite que el componente que roba los datos de la billetera omita la propia billetera del actor de la amenaza. Al momento de escribir este artículo, la billetera de criptomonedas está vacía y no se han registrado transacciones.
JFrog describió a IronWorm como un «arma de cadena de suministro creada para encontrar secretos, modificar proyectos e inyectar código malicioso para autopropagarse en GitHub». Esta confirmación maliciosa abarca nueve organizaciones de GitHub y fue implementada por el nombre del autor «claude» («claude@users.noreply.github.com») con la intención de imitar el chatbot de inteligencia artificial (IA) de Anthropic.
«El paquete malicioso npm fue publicado por asteroiddao, que corresponde a la organización asteroid-dao GitHub, y ocrybit es miembro de esa organización y de la organización asociada Arweave», explicó la compañía.
«El malware robó las credenciales de ocrybit y las usó para enviar confirmaciones a través de repositorios accesibles. Estas confirman malware incrustado en otros paquetes, que luego podrían quedar expuestos e infectar al siguiente desarrollador. Luego, el malware desapareció».
Además, la carga útil maliciosa tiene la capacidad de reemplazar un flujo de trabajo de GitHub Actions existente con uno que puede recopilar secretos, escribirlos en un archivo de apariencia inofensiva y cargarlos como artefactos de compilación, eliminando la necesidad de un servidor de comando y control (C2) externo.
Eso no es todo lo que hace el malware. En un entorno de CI, explotan el flujo de emisión confiable de npm para obtener tokens de corta duración y enviar versiones contaminadas que contienen malware al registro.
También incluye una carga útil eBPF que actúa como un rootkit a nivel de kernel que oculta procesos e impide el análisis. Sin embargo, en sistemas con el bloqueo del kernel habilitado, el truco para ocultar procesos falla y los procesos y sockets esperados vuelven a ser visibles.
Los gusanos miasmáticos resurgen
La divulgación se produce cuando Endor Labs y StepSecurity arrojan luz sobre campañas separadas de ataques a la cadena de suministro que comprometieron paquetes de 57 npm en más de 286 versiones maliciosas para entregar nuevas variantes del gusano Miasma. La campaña de ataque infectó 32 paquetes en más de 90 versiones bajo el espacio de nombres npm @redhat-cloud-services en menos de 72 segundos a principios de esta semana.
Algunos de los paquetes afectados se enumeran a continuación.
ai-sdk-ollama autotel analizador de efectos en espera eslint-plugin-en espera historias-ejecutables-cypress http-uploader-dev solucionador de entorno de nodo montado solucionador de entorno de nodo aws
Los datos robados a través del malware se filtraron a la ahora inaccesible cuenta de GitHub “liuende501”, que sirvió como punto de exfiltración. Había 236 repositorios almacenados en la cuenta. Actualmente no está claro si GitHub eliminó la cuenta o si el propio actor de la amenaza la eliminó.
Sai Likhith, investigador de StepSecurity, dijo: «Esta ola utiliza una técnica que llamamos ‘phantom gyp’. En lugar de scripts de ciclo de vida previos o posteriores a la instalación que las herramientas de seguridad normalmente monitorean, los atacantes explotan el archivo vinculante.gyp de 157 bytes para activar la ejecución de código durante la instalación de npm, evitando por completo la mayoría de los controles de seguridad del script de instalación».
Al igual que Miasma, la cadena de ataque está diseñada para descargar e instalar el tiempo de ejecución de Bun JavaScript, que se utiliza para cargar un recolector de credenciales integral diseñado para extraer secretos de AWS, Google Cloud, Microsoft Azure, HashiCorp Vault, Docker, Kubernetes, GitHub Actions, npm, RubyGems, PyPI, SSH, administradores de contraseñas y asistentes de IA.
«La característica más novedosa y preocupante de esta variante es que se dirige a configuraciones de asistente de codificación de IA», dijo la compañía. «Este malware inyecta un archivo de puerta trasera persistente en el repositorio del proyecto que se ejecuta cada vez que el desarrollador abre el proyecto en el IDE asistido por IA».
Se recomienda a los desarrolladores que hayan instalado versiones afectadas que roten las credenciales, desactiven los scripts de instalación y las reconstrucciones nativas de forma predeterminada y se aseguren de que los paquetes estén protegidos con hashes de integridad.
En una actualización compartida esta semana, Red Hat reveló que la causa principal del incidente de la cadena de suministro de Miasma fue probablemente un compromiso de una cuenta de GitHub que se utilizó para enviar confirmaciones maliciosas a repositorios dentro de la organización RedHatInsights GitHub.
Microsoft dijo sobre la campaña: «Aunque los ejecutores de CI/CD de Linux parecen ser el objetivo principal, la carga útil funcionó en Linux, macOS y Windows descargando dinámicamente el tiempo de ejecución de Bun apropiado para cada plataforma».
«En los sistemas de desarrollo, el malware robó claves de shell seguro (SSH), credenciales de interfaz de línea de comando (CLI) y datos del navegador y de la billetera. Mientras tanto, en un entorno CI/CD, el malware extrajo la memoria del ejecutor de GitHub Actions para obtener secretos, privilegios elevados usando sudo sin contraseña y niveles de cadena de suministro falsificados para artefactos de software (SLSA) y volvió a publicar el paquete contaminado que contiene la fuente del virus para continuar la transmisión descendente».
Se considera que la carga útil Miasma es una variante del gusano Shai-Hulud utilizado por TeamPCP en campañas recientes, que mantiene la misma funcionalidad básica e introduce cambios principalmente «cosméticos». A pesar de la superposición de oficios, la atribución de la última ronda de ataques sigue sin estar clara dado que TeamPCP publicó el código Shai-Hulud.
Desde entonces, OX Security ha revelado otras etapas de la cadena de ataque de Miasma. Esto incluye pasos como buscar confirmaciones de GitHub que contengan la cadena «firedalazer» (que reemplaza el punto muerto «FIRESCALE» previamente marcado) para recuperar un archivo JavaScript («index.js») que contiene otra carga útil, una versión alternativa del gusano Shai-Hulud, lo que convierte efectivamente la infección en un bucle eterno.
En este caso, los datos robados se filtraron a repositorios públicos de GitHub, cada uno con la descripción «Miasma: The Spreading Blight» o «Miasma – The Spreading Blight». Tenga en cuenta que en versiones anteriores era «Miasma: The Spreading Blight» y no había espacio entre Miasma y el símbolo «:». Actualmente hay 82 repositorios de este tipo creados con las cuentas de usuario ‘0tabek16’ y ‘windy629’.
Los investigadores de seguridad Moshe Siman Tov Bustan y Nir Zadok dijeron: «Un atacante podría modificar dinámicamente el compromiso ‘firedalazer’ en GitHub para crear una nueva versión del malware que sea más adaptable y más sofisticada».
«Esto convierte a GitHub en algo más peligroso que un punto muerto. Es un C2 adaptable que se aprovecha de plataformas confiables ampliamente incluidas en la lista blanca, haciendo que la detección a nivel de red sea casi inútil. La mayoría de las herramientas de seguridad no están configuradas para tratar el tráfico de GitHub como sospechoso, y los atacantes lo saben».
Source link
