Ansteckend Interview der SVG-Trick mit Base64, die Anmeldeinformationen stiehlt und die Lieferkette freigibt

Ein neues Kapitel der langen Kampagne, das den nordkoreanischen Akteuren zugeschrieben wird - identifiziert von Elastic Security Labs als Teil der Operation bekannt als Contagious Interview und weiter als REF9403 - zeigt eine störende Kombination von Social Engineering, die auf Entwickler und invasive Malware-Techniken zielt: Steganographie eingebettet in SVG-Dateien, die payload Fragmente in Base64 Bewertungen tarnen, montiert durch legitime JavaScript-Code in Gewindespeichern, die als technische Tests für die Verwendung angeboten werden.

Der Trick nutzt das Vertrauen der technischen Gemeinschaft: Stellenangebote und Kodierung von Herausforderungen, die auf Kanälen wie Slack veröffentlicht werden, induzieren Stakeholder, um Projekte zu klonen und auszuführen, die in der ersten Instanz richtig funktionieren. Hinter dieser scheinbaren Operation ist eine vierstufige Kette ähnlich Malware als OtterCookie bekannt: Browser-Zulassungen und Kryptomoneda-Portfolios, Datei-Exfiltration, eine persistente Backdoor auf Basis von Socket. IO und Clipboard Diebstahl. Darüber hinaus sucht der Code Erweiterungen und Geräte im Zusammenhang mit IA-Tools, was ein klares Interesse an sensiblen und wichtigen Daten, die den Zugang zu wertvollen Umgebungen und Ressourcen erleichtern.

Aus technischer Sicht ist die Verwendung von SVG mit Kommentaren, die Base64-Fragmente enthalten, die unter mehreren Bildern verteilt sind, ein bewusster Versuch, Scanner und statische Signatur zu umgehen: Asset-Dateien scheinen harmlos (z.B. AE.svg, AF.svg), enthalten aber kommentierte Blöcke, dass das Repository-Validation-Skript concatene und decodify in Laufzeit. Die Nutzlast wird programmiert, auch im Server-Boot zu laufen, was einen einfachen technischen Test in eine persistente Eingangstür mit Steuerungs- und Steuerungsfunktionen verwandelt.

Die Auswirkungen sind klar und breit: ein einzelner engagierter Entwickler kann ein Vektor eines Supply-Chain-Angriffs werden, Einfügen von schädlichen Code in gemeinsame Projekte, Abhängigkeiten oder CI / CD-Pipelines. Darüber hinaus verstärkt die Kombination von Portfolio und Anmelde-Diebstahl sofortige wirtschaftliche Schäden und erleichtert Exfiltrationskampagnen, die schwierig zu reassemblieren sind, wenn die Schlüssel wieder verwendet oder nicht schnell gedreht werden.

In Bezug auf Erkennung und Zuschreibung, die Technik erschwert die Sichtbarkeit, weil die Signale zwischen statischen Ressourcen (Bilder), scheinbar legitime Artefakte und Funktionscode verbreiten. Dies verstärkt die Notwendigkeit, Signaturen mit Verhaltensanalyse, Dateiintegritätsüberwachung und strenge Ausführungskontrolle in produktiven Umgebungen zu ergänzen. Für den Kontext und die Taxonomie der Techniken ist es nützlich, Referenz-Repositorien wie MITRE ATT & CK ( https: / / attack.mitre.org /) und sektorale Analysen, die von Antwortgruppen wie Elastische Sicherheitslabore ( https: / / www.elastic.co /), die beschreiben, wie sich diese Kampagnen entwickeln.

Für einzelne Teams und Entwickler beginnen die praktischen Maßnahmen mit dem Grundprinzip, den externen Code nicht mit unnötigen Privilegien zu betreiben: Nachweise in ephemeren Umgebungen zu isolieren, ohne Zugriff auf Geheimnisse, automatische Ausführung durch Klon-Repositorien deaktivieren und statische Vermögenswerte für verdächtige Kommentare oder Base64 Blöcke überprüfen.

Die Umsetzung individueller Hygiene mit organisatorischen Richtlinien reduziert das Risiko: die Überprüfung von Zuganfragen, das Scannen von Repositories für ungewöhnliche Geheimnisse und Artefakte vor der Integration in Pipelines, das Blockieren von unbefugten ausgehenden Verbindungen von CI-Läufern und die Anwendung von Integritätskontrollen auf Servern, die neue Dienste starten. Auch die Annahme des Prinzips des kleinen Privilegs in Browser-Erweiterungen und Portfolios und die Trennung von Zugangsschlüsseln und Portemonnaies (z.B. mit Hardware-Portemoneten oder begrenzten Konten) begrenzt die Auswirkungen bei Informationsleckage.

Detection-Lösungen sollten Netzwerk-Telemetrie zur Identifizierung ungewöhnlicher Socket. IO-Verbindungen, EDR-Regeln, die die Decodierung und Ausführung von speichermontierten Blobs erkennen, und Warnungen an Prozessen, die versuchen, die Zwischenablage zu lesen oder auf Browser-Schlüsselspeicher zugreifen. Die sofortige Verdrehung freier Anmeldeinformationen und der Widerruf verpflichteter Token sind wesentliche Handlungen nach einem Vorfall.

Schließlich zeigt dieser Vorfall, dass Software-Sicherheit nicht nur eine Frage der öffentlichen Abhängigkeiten oder schädliche npm-Pakete ist: der menschliche Vektor bleibt die zerbrechlichste Verbindung. Die Ausbildung technischer Gemeinschaften zur Identifizierung falscher Beschäftigungslures, zur Förderung der Skepsis bei der Ausführung von Codes, die über soziale Kanäle empfangen werden, und zur Förderung von Validierungspraktiken der Geräte wird als automatische Werkzeuge notwendig sein, um das Risiko von anspruchsvollen Kampagnen wie Contagious Interview zu mindern.