Investigadores de ciberseguridad han descubierto un conjunto de paquetes npm maliciosos diseñados para ofrecer troyanos de acceso remoto (RAT) basados en Windows.
La lista de paquetes identificados se encuentra a continuación:
aes-decode-runner-pro (descargar 145) postcss-minify-selector (descargar 256) postcss-minify-selector-parser (descargar 615)
Todos los paquetes han sido publicados por un usuario de npm llamado ‘abdrizak’ durante el último mes y todavía están disponibles para descargar desde npm al momento de escribir este artículo.
«Aes-decode-runner-pro y postcss-minify-selector-parser existen como paquetes de códecs personalizados/AES en capas y dependen del postcss-selector-parser canónico», dijo JFrog en su análisis. «Postcss-minify-selector se presenta como un minificador de selector PostCSS y depende de postcss-minify-selector-parser».
En cuanto a «postcss-minify-selector-parser», su nombre es una referencia a «postcss-selector-parser», una biblioteca npm ampliamente utilizada con más de 127 millones de descargas cada semana. Independientemente del paquete descargado, la cadena de ataque conduce a la misma implementación de malware en Windows.
El paquete incluye un cuentagotas de JavaScript que escribe un script de PowerShell (‘settings.ps1’) en el disco y lo ejecuta. El script de PowerShell actúa como un descargador para la carga útil de la siguiente etapa obtenida de un servidor externo (‘nvidiadriver(.)net’) usando ‘curl.exe’.
La carga útil recuperada es un archivo ZIP del cual se extrae y ejecuta un archivo de Visual Basic Script (‘update.vbs’) usando ‘wscript.exe’. El archivo ZIP descargado también incluye el tiempo de ejecución de Python, un cargador de Python (‘loader.py’) y varios módulos de extensión de Python (*.pyd) compilados con Nuitka.
Visual Basic es responsable de configurar un entorno Python en el host comprometido y ejecutar el script «loader.py». Esto desencadena la lógica central del malware. La RAT tiene la capacidad de recopilar información del host, desviar credenciales de Google Chrome, recopilar datos de extensiones de Chrome, ejecutar comandos de shell y descargar/cargar archivos hacia/desde un servidor de comando y control (C2) (‘95.216.92(.)207:8080’).
Estas características se logran a través de un conjunto de módulos de extensión nativos de Python.
config.pyd (contiene constantes, ID de comando, URL C2 y nombres de claves de registro) api.pyd (maneja intercambios de paquetes HTTP C2) audiodriver.pyd (maneja el bucle de orquestación RAT principal) command.pyd (realiza perfiles de host, comprobaciones de máquinas virtuales (VM), transferencias de archivos y ejecución de shell) auto.pyd (Chrome realiza robo de credenciales y extensiones y evita el cifrado vinculado a aplicaciones (ABE) protección) util.pyd, que actúa como asistente de archivo tar/gzip.
«Este caso muestra cómo un pequeño paquete similar a un analizador puede ocultar una carga útil de Windows de varias etapas y al mismo tiempo parece estar relacionado con una herramienta de compilación legítima que se utiliza mucho cada semana», dijo JFrog. «La lección clave para los defensores es tratar las dependencias de compilación similares como posibles mecanismos de entrega, en lugar de simplemente nombrar nombres inofensivos».
Este descubrimiento coincidió con otras tres campañas dirigidas a npm y el ecosistema TypeScript.
Un paquete malicioso llamado ‘apintergrationpost’ pretende proporcionar un RAT de Linux con todas las funciones llamado MYRA, así como un cliente de integración Node.js para ejercicios de red teaming aprobados. «Compila un rootkit C nativo durante la instalación, establece tres mecanismos de persistencia independientes, se hace pasar por un servicio systemd, admite la ejecución sin archivos y proporciona acceso interactivo al shell con transmisión de pantalla en vivo», dijo SafeDep. El paquete malicioso llamado «@withgoogle/stitch-sdk» se hace pasar por la herramienta de diseño Stitch AI de Google y tiene la capacidad de robar credenciales de desarrollador de ocho fuentes (Claude Code, git config, ~/.git-credentials, claves públicas SSH, GitHub CLI, npm config, ~/.npmrc y ~/.docker/config.json) y filtrarlas a dominios controlados por atacantes. (‘producción-puntada(.)org/api/v1’). Un grupo de cinco paquetes (‘procwire’, ‘routecraft’, ‘endpointmap’, ‘bytecraft’, ‘staticlayer’). Entregue un binario dropper desde un servidor externo a un host de Windows y ejecútelo durante la instalación de npm. El paquete ‘routecraft’ enumera ‘procwire’ como dependencia, mientras que este último enumera ‘endpointmap’ y ‘bytecraft’ como dependencias. El paquete final «staticlayer» está diseñado para ejecutarse en el lado del servidor y entregar archivos a los clientes presentando el agente de usuario exacto del dropper.
Se recomienda a los usuarios que hayan instalado cualquiera de los paquetes anteriores que los eliminen de inmediato, eliminen cualquier artefacto creado por esos paquetes y roten las credenciales de las máquinas de desarrollo afectadas.
Este descubrimiento también es consistente con un ataque a la cadena de suministro dirigido a la herramienta de gráficos de conocimiento «gonex-AI/Understand-Anything», que «seleccionó uno de los tres servidores C2 codificados, exfiltró marcadores de campaña, descifró XOR y evaluó el cliente bot descargado, y codificó un hash de transacción BSC con la transacción más reciente que llevaba una carga útil activa. Impulsa una carga útil maliciosa que resuelve los comandos de cada etapa de forma independiente.
Esta actividad se superpone con una operación de la cadena de suministro de Corea del Norte llamada PolinRider. Se ha observado que PolinRider inyecta JavaScript ofuscado en archivos de configuración de desarrolladores legítimos en aproximadamente 2000 repositorios de GitHub comprometidos, distribuye un conocido descargador y ladrón de malware llamado BeaverTail y allana el camino para la puerta trasera InvisibleFerret.
«Este ataque combina tres cosas que son bien conocidas individualmente, pero que juntas abren una brecha de detección: una elaborada declaración de relaciones públicas falsa con evidencia de prueba fabricada, una diferencia que oculta la carga útil con espacios en blanco horizontales y un C2 de dos etapas que utiliza infraestructura pública de blockchain en la segunda etapa, utilizada como un relé de escritura única y lectura en cualquier lugar», dijo Safedepp.
Source link
