Los investigadores de ciberseguridad han marcado ataques de la cadena de suministro que se dirigen a 12 paquetes asociados con Gluestack para entregar malware.
El malware introducido a través de un cambio a «lib/commonjs/index.js» permite a los atacantes ejecutar comandos de shell, tomar capturas de pantalla y cargar archivos a máquinas infectadas, Aikido Security dijo que estos paquetes explican colectivamente casi 1 millón de descargas cada semana.
El acceso no autorizado se puede utilizar para realizar una variedad de acciones posteriores, como la criptomoneda minera, el robo de información confidencial o incluso los servicios de cierre. Aikido dijo que el compromiso del paquete inicial fue detectado por GMT el 6 de junio de 2025 a las 9:33 p.m.
Aquí hay una lista de paquetes afectados y versiones afectadas –
@Gluestack-Ui/Utils Versión 0.1.16 (101 Descargar) @Gluestack-Ui/Utils Versión 0.1.17 (176 Descargar) @React-Native-ARIA/Button Versión 0.2.11 (174 Descargar) @React-Native-ARIA/Versión de divulgación 0.2.9 (N/A) @react-native-ARIA/FOUNDE Versión 0.2.10 (951 Descargar) 0.2.17 (descarga 420) @react-native-aria/listbox versión 0.2.10 (171 descargar) @react-aria/mania versión 0.2.16 0.3.16 (751 descargar) @react-native-ario-ario/radio version 0.2.14 (descargas 570) @react-native-aria/slider versión 0.2.13 (264 descargas) @react-native-native-native/switch switch) @React-Native-Aria/Tabs versión 0.2.14 (170 descargas) Descargar) @react-native-aria/utils versión 0.2.13 (341 descargas)
Además, el código malicioso inyectado en el paquete es similar al troyano de acceso remoto que se entregó después de un compromiso en otro paquete NPM, «Rand-User-Agent» el mes pasado, lo que indica que el mismo actor de amenaza podría estar detrás de la actividad.
Trojan es una versión actualizada que admite dos nuevos comandos para recopilar información del sistema («SS_INFO») y alojar direcciones IP públicas («SS_IP»).
El mantenedor del proyecto luego revocó el token de acceso y marcó la versión afectada como en desacuerdo. Se recomienda a los usuarios que hayan descargado la versión maliciosa que regresen a la versión segura para mitigar la amenaza potencial.
«El impacto potencial es grande y el mecanismo de persistencia de malware es particularmente preocupante. Los atacantes aún mantienen acceso a máquinas infectadas incluso después de que los mantenedores actualicen sus paquetes», dijo la compañía en un comunicado.
Paquetes maliciosos que se encuentran en NPM desbloquear características destructivas
Este desarrollo descubrió dos paquetes Rogue NPM porque descubrió dos paquetes de NPM deshonestos que implantan limpiaparabrisas que tienen enchufes equipados con utilidad legítima pero pueden eliminar todo el directorio de aplicaciones.
Los paquetes emitidos por la cuenta «BotSailer» (correo electrónico: anupm019@gmail (.) Com) se descargaron 112 veces y 861 veces antes de ser eliminado, respectivamente.
El primero de los dos paquetes en Express-API-Sync afirma ser API expresas para sincronizar los datos entre dos bases de datos. Sin embargo, cuando un desarrollador desprevenido lo instala y lo agrega a una aplicación, recibiendo una solicitud HTTP utilizando la tecla DCODED «default_123» desencadena la ejecución de código malicioso.
Al recibir la clave, ejecuta el comando UNIX «RM -RF *» para eliminar recursivamente todos los archivos del directorio actual, incluido el código fuente, los archivos de configuración, los activos, las bases de datos locales, etc.
Otros paquetes son más refinados y actúan como bienes robados de información y limpiaparadores, modificando el comando Eliminar en función de si el sistema operativo es Windows («RD/S/Q.») o Linux («RM -RF *»).
«Si Express-API-Sync es un instrumento contundente, el sistema-sync-API del sistema es un cuchillo militar suizo en destrucción con la recolección de inteligencia», dijo el investigador de seguridad Kush Pandya.
Un aspecto notable del paquete NPM es que se conecta a los buzones controlados por atacantes a través de credenciales SMTP controladas por el atacante y utiliza el correo electrónico como un canal de comunicación secreto. La contraseña se ofusca utilizando la codificación Base64, mientras que el nombre de usuario se refiere a una dirección de correo electrónico con un dominio asociado con una agencia inmobiliaria con sede en la India («Auth@CoreHomes (.) IN»).
«Todos los eventos importantes desencadenan un correo electrónico a anupm019@gmail (.) Com», dijo Socket. «Este correo electrónico contiene una URL de backend completa y puede exponer los detalles de la infraestructura interna, los entornos de desarrollo o los servidores de puesta en escena no publicados».
El uso de SMTP para la extracción de datos es despreciable, ya que la mayoría de los firewalls no bloquean el tráfico de correo electrónico.
Además, el paquete reanuda los puntos finales con «/_/System/Health» y «/_/SYS/Mantenimiento» para desatar comandos de destrucción específicos de la plataforma.
«Los atacantes primero verificarán la puerta trasera a través de Get/_/System/Health, que devuelve el nombre y el estado de host del servidor», explicó Pandya. «Si está configurado, pruebe en modo de ejecución seca y realice la destrucción utilizando post/_/sistema/salud o copia de seguridad post/_/sys/punto final de mantenimiento. Key» Helloworld «.
El descubrimiento de dos nuevos paquetes de NPM muestra que los actores de amenaza están comenzando a divergir más allá del uso de información y robo de criptomonedas para centrarse en el sabotaje del sistema.
El paquete PYPI enumera su actitud como una herramienta de crecimiento de Instagram para cosechar credenciales
También se produce cuando las compañías de seguridad de la cadena de suministro de software descubren el nuevo acreditación basada en Python IMAD213 en su repositorio de Python Package Index (PYPI), que según ellos es una herramienta de crecimiento para Instagram. Según las estadísticas publicadas en Pepy.Tech, el paquete se ha descargado 3,242 veces.
«El malware utiliza la codificación base64 para ocultar su verdadera naturaleza e implementa un interruptor de asesinato remoto a través del archivo de control alojado en Netlify», dice Pandya. «Cuando se ejecute, se transmitirá a 10 servicios de botes de terceros diferentes, lo que provocará que los usuarios con credenciales de Instagram y pretendan aumentar sus seguidores».
The Python library was uploaded by a user IM_AD__213 (aka IMAD-213) that joined the registry on March 21, 2025, and uploaded three other packages (Taya, A-B27) or Leverage apach Bench (Apach of opsedims-opsedims) to target and three other packages targeting the target and target targets on Facebook, Gmail, Twitter and VK Credentials (Taya, A-B27). (Poppo213).
A continuación se muestra una lista de paquetes que aún se pueden descargar de Pypi –
IMAD213 (3,242 descargas) Taya (930 descargas) A-B27 (996 descargas) Poppo213 (3,165 descargas)
En el documento GitHub ReadMe.MD publicado por IMAD-213 aproximadamente dos días antes de que «IMAD213» fuera cargado a Pypi, los actores de amenaza notan que no son responsables del mal uso, alegando que la biblioteca es principalmente «fines educativos e investigadores».
La descripción de GitHub también incluye «consejos de seguridad engañosos» que alientan a los usuarios a usar cuentas falsas o temporales de Instagram para evitar encontrar problemas con la cuenta principal.
«Esto crea falsa seguridad. Los usuarios piensan que son cautelosos mientras dan credenciales válidas a los atacantes», dijo Pandia.
Al iniciar, el malware se conecta a un servidor externo, lee el archivo de texto («pass.txt») y progresa más solo si el contenido del archivo coincide con la cadena «iMad213». Kill Switch puede cumplir múltiples propósitos, permitiendo a los actores de amenaza determinar quién tiene acceso para ejecutar la biblioteca, o desactivar todas las copias descargadas simplemente cambiando el contexto del archivo de control.
En el siguiente paso, la biblioteca le pedirá al usuario que ingrese sus credenciales de Instagram, luego guardó localmente en un archivo llamado «certificaciones» y transmitirá a 10 sitios web de servicios de bot sospechosos diferentes. El dominio se registró en junio de 2021.
«La aparición de esta cosechadora de calificación revela algo sobre las tendencias en el malware dirigido a las redes sociales», dijo Socke. «Hay 10 servicios de bot diferentes que reciben credenciales, por lo que vemos las primeras etapas del lavado de certificación. Los inicios de sesión robados se distribuyen en múltiples servicios, oscureciendo sus orígenes».
Source link
